feat(0.26.0): écritures MCP minimales — create_issue + add_comment gardés par jeton kbt_

CHANGELOG.md

@@ -1,5 +1,40 @@
 # Changelog
 
+## 0.26.0 — 2026-10-21
+
+### Ajouté — écritures MCP minimales et sûres (service d'agents)
+
+Le serveur MCP n'était qu'en lecture depuis la 0.5.0. Le service
+d'agents (jeton `kbt_` posé en production) peut désormais créer
+des cartes et commenter, et rien d'autre : aucune suppression,
+aucun changement d'état.
+
+- **`create_issue`** — arguments : `owner` (chaîne, requis),
+  `repo` (chaîne, requis), `title` (chaîne, requis), `body`
+  (chaîne, optionnel), `column` (optionnel, une des colonnes du
+  board, `backlog` par défaut). Réutilise le service de création
+  existant (`_do_capture` → `create_issue` du client de forge,
+  Gitea ou GitHub selon la connexion qui détient le dépôt) : la
+  carte est placée sur le board et journalisée (source `mcp`).
+  Réponse JSON : `number`, `title`, `html_url`, `repo_full_name`,
+  `column`.
+- **`add_comment`** — arguments : `owner`, `repo`, `number`
+  (entier), `body` — tous requis. Réutilise `create_comment` du
+  client de forge (mêmes validations que l'API web : corps non
+  vide, 10 000 caractères max) et journalise l'événement
+  `commented` (source `mcp`). Réponse JSON : `id`, `body`,
+  `html_url`, `repo_full_name`, `number`.
+- **Garde inchangée** : les deux outils passent par le même
+  `/mcp` et le même middleware que les lectures — session,
+  Basic ou `Authorization: Bearer kbt_…` ; un jeton ne
+  déverrouille toujours pas l'interface web, et sa révocation
+  bloque aussitôt les écritures. Erreurs métier au format
+  existant du serveur (résultat `isError` avec le message).
+- `GET /mcp` déclare désormais `read_only: false` et la liste
+  `write_tools` (honnêteté de la découverte).
+- **Redéploiement Docker de Kanbante à la charge de Bruno**
+  pour activer cette version en production.
+
 ## 0.25.0 — 2026-10-21
 
 ### Ajouté — jetons d'API personnels pour les surfaces machine (MCP)