chore(capitalisation): integrate triage entries and anchor new knowledge

knowledge/backend/risques/auth.md

@@ -330,3 +330,39 @@ it('retourne 403 si subscription inactive', async () => {
 - **Signal review** : import de `verifyToken` dans un fichier service (hors `authHelpers.ts`)
 
 - Contexte technique : auth / architecture — RL799_V2 08-04-2026
+
+---
+
+<a id="risque-auth-acl-unique-champ-sensible"></a>
+## ACL unique pour ressource globale et sous-champ sensible
+
+### Risques
+- Champs sensibles exposés à des rôles qui ne devraient accéder qu'à la vue agrégée.
+
+### Symptômes
+- Endpoint fonctionnellement "autorisé" mais fuite de notes/valeurs sensibles en clair.
+
+### Bonnes pratiques / mitigations
+- Séparer explicitement les règles d'accès : liste globale vs détails sensibles.
+- Appliquer des guards dédiés au niveau du champ ou du sous-endpoint.
+
+- Contexte technique : auth / ACL granulaire — RL799_V2 13-04-2026
+
+---
+
+<a id="risque-auth-jwt-user-introuvable"></a>
+## JWT valide mais utilisateur introuvable en base
+
+### Risques
+- Retour `403` trompeur (authz) au lieu d'un `401` (auth invalide côté sujet).
+
+### Symptômes
+- Frontend affiche "accès refusé" au lieu de forcer une ré-authentification.
+
+### Bonnes pratiques / mitigations
+- Si le sujet JWT ne résout plus un user actif : répondre `401`.
+- Déclencher invalidation de session côté client.
+
+- Contexte technique : auth / cycle de vie compte — RL799_V2 17-04-2026
+
+---