diff --git a/.github/workflows/code-validation.yml b/.github/workflows/code-validation.yml
index 3db5c29..a0ed4c7 100644
--- a/.github/workflows/code-validation.yml
+++ b/.github/workflows/code-validation.yml
@@ -10,8 +10,8 @@ permissions:
   contents: read
 jobs:
   composition:
-    uses: libre-ai/project-governance/.github/workflows/validate-composition.yml@2024a4884b314df99be457618be9c3b48a0287f7
+    uses: libre-ai/project-governance/.github/workflows/validate-composition.yml@7c2238d6185e59d446586688ca7db32e6a17d3e0
     with:
       target: capability-authorization
       target_ref: ${{ github.sha }}
-      tooling_ref: 2024a4884b314df99be457618be9c3b48a0287f7
+      tooling_ref: 7c2238d6185e59d446586688ca7db32e6a17d3e0
diff --git a/project.v1.yaml b/project.v1.yaml
index 1af2054..6c85d56 100644
--- a/project.v1.yaml
+++ b/project.v1.yaml
@@ -48,7 +48,7 @@ dependencies:
     # révision qui existe. Aucun manifeste de ce dépôt ne dépendait du retiré :
     # mesuré sur 105 manifestes des 29 dépôts de l'organisation.
     why: "gabarit de gates consommé en workflows réutilisables et git-dep d'outillage — jamais dupliqué"
-    pinned: "github:libre-ai/project-governance#2024a4884b314df99be457618be9c3b48a0287f7"
+    pinned: "github:libre-ai/project-governance#7c2238d6185e59d446586688ca7db32e6a17d3e0"
   - on: biscuit-auth
     why: "primitives Biscuit Ed25519 — release exacte 6.0.0, default-features désactivées, résolue vers une copie vendorée (archive publiée + correctif amont #306, third_party/biscuit-auth-6.0.0/PATCH.md) retirée dès qu'une version publiée porte le correctif"
     pinned: "=6.0.0 via [patch.crates-io] (avec biscuit-parser =0.2.0, grammaire datalog 3.3 correspondante — preuve d'injectivité evidence/reviews/bfc2c0d/)"