feat(sdk): épic — capture télémétrie à l'état de l'art

[DorianOuvrard]

Épic de suivi : amener la capture d'infos du SDK @bworlds/launchkit à l'état de l'art.

Constat audit. Fiabilité forte (durabilité chunks, kill-switch remote, diagnostics upload — devant la plupart des peers). Sur le quoi capturé : ~55 % du SOTA. Gaps majeurs : zéro Web Vitals, record-by-default (privacy), erreurs pauvres. Rage/dead clicks déjà couverts backend (assembleur) — on garde backend.

Paquets SDK (vulk-corp/launchkit)

• feat(sdk): couche de capture Web Vitals & timing #10 — Web Vitals & timing (M / Haut) ↔ companion vulk-corp/bworlds#949
• feat(sdk): posture privacy mask-by-default + consentement (DNT/GPC) #11 — mask-by-default + consentement (S-M / Haut)
• feat(sdk): résilience & coût de l'enregistrement replay #12 — résilience & coût enregistrement (M / Moyen-Haut)
• feat(sdk): capture d'erreurs enrichie (mechanism, frames, dedup, CSP) #13 — erreurs enrichies (M / Moyen-Haut) ↔ companion vulk-corp/bworlds#950
• feat(sdk): enrichissement du contexte session #14 — contexte session (S / Moyen)
• feat(sdk): profondeur de capture réseau #15 — profondeur réseau (M / Moyen) ↔ companion vulk-corp/bworlds#951

Companions plateforme (vulk-corp/bworlds)

• vulk-corp/bworlds#949 — ingest/affichage Web Vitals
• vulk-corp/bworlds#950 — grouping/fingerprint erreurs
• vulk-corp/bworlds#951 — ingest réseau étendu

Différé

Canvas/WebGL recording (risque PII, apps builder majoritairement DOM).

---

Sources d'analyse. Née d'un audit de conception du SDK @bworlds/launchkit v1.15.0 vs état de l'art (benchmark open-source de la capture d'infos).
Références comparées en source réelle : rrweb (rrweb-io/rrweb), PostHog (PostHog/posthog-js), Sentry (getsentry/sentry-javascript — packages/browser, packages/replay-internal), OpenReplay (openreplay/openreplay), Datadog RUM (DataDog/browser-sdk), Grafana Faro (grafana/faro-web-sdk), lib GoogleChrome/web-vitals. Contrainte transport (plafond 64 KiB partagé sendBeacon/keepalive) : Fetch spec + Sentry #1464.
Note honnêteté : la CSP est vérifiée chez Faro (enableContentSecurityPolicyInstrumentation), pas Sentry ; les défauts PostHog dead-clicks/exceptions sont remote-config-gated (non hardcodés).