chore(capitalisation): integrate triage entries and anchor new knowledge

knowledge/backend/patterns/auth.md

@@ -296,3 +296,49 @@ Le helper `requireRoleAccess` doit retourner :
 - [ ] 401 pour tout problème de token (absent, expiré, malformé)
 - [ ] 403 uniquement quand le token est valide mais le rôle insuffisant
 - [ ] Frontend redirige vers `/login` sur 401, affiche "accès refusé" sur 403
+
+---
+
+<a id="pattern-auth-dernier-admin-actif"></a>
+## Pattern : Dernier admin actif non supprimable + auto-action admin encadrée
+
+- Objectif : préserver l'accès administratif global et éviter les auto-actions destructrices.
+- Contexte : endpoints d'administration utilisateurs/rôles.
+- Quand l'utiliser : toute action de suppression, désactivation, rétrogradation d'un compte admin.
+- Quand l'éviter : jamais.
+
+### Règle
+- Interdire toute action qui laisserait le système sans admin actif.
+- Encadrer les auto-actions admin (self-disable, self-demote, self-delete) avec règles explicites.
+
+### Checklist
+- Vérification atomique "reste au moins un admin actif".
+- Codes d'erreur explicites (`LAST_ADMIN_LOCKOUT`, `SELF_ACTION_FORBIDDEN` ou équivalent).
+- Test dédié pour chaque cas limite.
+
+- Validé le : 17-04-2026
+- Contexte technique : auth / RBAC admin — RL799_V2
+
+---
+
+<a id="pattern-auth-audit-best-effort-vs-regalien"></a>
+## Pattern : Distinguer audit best-effort et audit régalien
+
+- Objectif : expliciter quelles écritures d'audit sont non-bloquantes vs bloquantes.
+- Contexte : endpoints sensibles avec journalisation.
+- Quand l'utiliser : toute opération ayant une exigence de traçabilité.
+- Quand l'éviter : jamais.
+
+### Règle
+- Audit best-effort : ne bloque pas l'opération métier principale.
+- Audit régalien/traçabilité critique : fait partie de la transaction logique et bloque en cas d'échec.
+
+### Checklist
+- Classification explicite de chaque événement d'audit.
+- Politique d'échec documentée par endpoint.
+- Tests de comportement en cas de panne du canal d'audit.
+
+- Validé le : 17-04-2026
+- Contexte technique : auth / audit — RL799_V2
+
+---