docs(android): the plan contradicted itself about section 1, and the order was stale

Section 1 still said its points had never been exercised while a block below
recorded four of them as validated. Only point 4 remains - and the unlock
code has largely defused it: while a code is set the cache is sealed under an
unconstrained AES key that no screen-lock change invalidates, so the
authenticated branch never runs. That is what the code was built for.

The proposed order listed three things that are done. Replaced by what is
actually left.

android-client/PLAN.md

@@ -40,9 +40,11 @@ actuelle est délibérée.
 
 ## 1. À vérifier sur téléphone — aucun code
 
+**Points 1, 2, 3 et 5 validés sur appareil** (voir plus bas). Ce qui suit est
+l'énoncé d'origine, gardé pour le point 4 — le seul qui reste.
+
 L'émulateur n'a ni empreinte ni écran de verrouillage, donc `PMA.Store` est
-retombé sur la clé sans contrainte à chaque essai. Ces trois points n'ont
+retombé sur la clé sans contrainte à chaque essai :
-jamais été exercés :
 
 1. **Création de la clé sous authentification** — `SaveVault(…, True)` doit
    écrire un en-tête à `2`, et le journal doit dire « protégé par
@@ -58,6 +60,13 @@ empreinte** invalide la clé définitivement
 (`KeyPermanentlyInvalidatedException`). Le cache doit alors être effacé et
 retéléchargé, pas rester illisible. C'est l'autre branche de la même garde.
 
+**Toujours pas exercé, et largement désamorcé depuis.** Le code de
+déverrouillage (§7) scelle le cache sous `VER_PIN`, une clé AES **sans
+contrainte** qu'aucun changement de verrouillage d'écran n'invalide : tant
+qu'un code est posé, la branche authentifiée ne s'exécute pas. C'est
+précisément pour cela que le code a été construit — un changement de schéma
+détruisait le cache. Le vérifier demanderait donc de retirer le code d'abord.
+
 ---
 
 ## 1 bis. ~~La décision qui bloque le cache~~ — RÉSOLU le 2026-08-15
@@ -1147,13 +1156,22 @@ la seule source.
 
 ---
 
-## Ordre proposé
+## Ce qui reste — au 2026-08-22
 
-1. **Vérifier §1 sur téléphone** — c'est ce qui valide le travail déjà fait, et
+Les sections 1 à 7 sont faites et vérifiées sur appareil. Il reste :
-   rien d'autre ne peut le remplacer.
+
-2. §2 item 4 (presse-papiers sensible) puis 6 (verrouillage sur inactivité).
+1. **La signature** (§5) — l'outillage est prêt, le magasin de clés et son mot
-3. §3 item 1, une fois tranché où atterrissent les pièces jointes.
+   de passe appartiennent à l'utilisateur. Seul point qui bloque une
-4. §4 à partir de l'étape 2, si l'écriture vaut son coût.
+   distribution.
+2. **§1 point 4** — l'invalidation de la clé par enrôlement d'une empreinte.
+   Jamais exercée, et largement désamorcée par le code de déverrouillage : tant
+   qu'un code est posé, cette branche ne s'exécute pas.
+3. **§3 point 6** — la liste virtuelle, le jour où la reconstruction à chaque
+   frappe se voit. Marquée `ponytail:` dans la page, pas avant.
+
+Et deux limites **assumées**, notées avec leur raison plutôt que portées comme
+des manques : pas d'édition hors ligne (§4), et le téléphone qui ne peut pas
+supprimer une pièce jointe (§3).
 
 ---