docs: whitelist Bifrost double-couche (redaction-pro), bug prefixe nginx /api/, dualite catalogues opencode/opencode-go, fix model_override deprecie hermes-perso

common/opencode-go-migration.md

@@ -63,3 +63,20 @@ Bifrost ne recharge PAS les clés provider au restart → `config.json` chargé
 
 - https://opencode.ai/docs/zen · hermes-agent.nousresearch.com/docs (fallback-providers)
 - hermes-nyora/verdict-pilote-mimo-v25.md · common/bifrost-vk-incidents.md
+
+## Mise a jour 02/09/2026 — hy3 valide, distinction des deux catalogues opencode
+
+**Deux catalogues distincts existent dans le registre models.dev, a ne pas confondre** :
+- `opencode-go` : API REST Zen (`https://opencode.ai/zen/go/v1`), auth par cle API — c'est celui utilise par Bifrost (voir common/bifrost-vk-incidents.md).
+- `opencode` natif : OAuth device-flow, compte personnel Nabil — utilise directement par les instances Hermes (hermes-agent) pour le picker de modeles Telegram, **sans passer par Bifrost**. Cache local visible dans le conteneur : `/opt/data/models_dev_cache.json` (cle `opencode-go` vs `opencode` a la racine du JSON).
+
+Ces deux catalogues n'ont pas le meme contenu ni la meme disponibilite. Un modele visible/selectionnable sur Telegram (catalogue `opencode` natif) peut tres bien etre absent ou deprecie cote `opencode-go` (celui de Bifrost), et inversement.
+
+**Nouveau modele valide sur opencode-go** : `hy3` — rapide (~2-6s), gratuit, bonne qualite francais. Ajoute a la liste "utilisables" ci-dessus.
+
+**Statuts verifies via `models_dev_cache.json`** (present dans tout conteneur hermes-agent) :
+- `opencode-go/ox-alpha-free` → **status: deprecated**. Ne plus utiliser (401 "not supported" confirme en live).
+- `opencode/laguna-s-2.1-free` (catalogue natif, PAS opencode-go) → **status: deprecated** egalement.
+- `opencode/nemotron-3-ultra-free`, `opencode/nemotron-3.5-lightning-free`, `opencode/muse-spark-1.2-contributor-free` → presents dans le catalogue natif seulement, jamais testes en conditions reelles (pas d'acces direct a ce catalogue OAuth depuis Bifrost/scripts).
+- `x-previex-f-free` → introuvable dans TOUT models_dev_cache.json, tous providers confondus. Probablement une confusion/erreur de nom, jamais rentre.
+- `muse-spark-1.2-contributor` (sans -free) → existe reellement cote opencode-go, mais bloque par une `DataPolicyError` exigeant un opt-in explicite de partage de donnees sur une page workspace personnelle. Necessite une action manuelle de Nabil, pas un fix infra.