Parti pris chromatique. « Verrouillé » et « Effacé » partagent la même famille rouge mais s'opposent par le remplissage : teinte douce = état transitoire, aplat = état terminal. La distinction reste immédiate même côte à côte, et le rouge demeure cohérent avec l'action Effacement RGPD déjà affichée en rouge au journal d'audit (US-040). Le pictogramme 🧹 est celui du registre d'audit, repris tel quel.

Toasts existants du composant users-list, aucune variante nouvelle. Le toast de succès nomme la personne une dernière fois : c'est le seul endroit de l'application où son nom réapparaît après l'opération, et il s'efface au bout de quelques secondes. La liste rechargée affiche « Utilisateur supprimé ». Deux canaux, jamais les deux à la fois : les refus métier (409) s'affichent dans la modale — états C1 à C3 — et n'utilisent pas le toast ; le toast rouge est réservé aux erreurs techniques (réseau, 500), la modale revenant alors à l'état B4 pour permettre une nouvelle tentative.

À l'ouverture, aucun champ n'est pré-rempli et le bouton d'action est inerte dès la première seconde : impossible de valider par réflexe. L'adresse à recopier est affichée en clair — la friction recherchée est la délibération, pas le secret.

Un caractère manquant suffit : l'égalité doit être stricte. Le message est factuel, sans reproche, et n'apparaît qu'après une première saisie — pas dès la première frappe. La référence, elle, est bien remplie : elle ne débloque rien à elle seule.

État charnière : l'adresse est validée, le bouton reste pourtant éteint. C'est ce qui rend le caractère obligatoire de la référence lisible sans message d'erreur. Si le PO tranche « facultatif », seuls l'astérisque, ce message et la condition d'armement disparaissent — l'état B3 devient alors identique à B4.

Le bouton s'arme : opacité pleine et légère ombre portée rouge. Aucun changement de libellé, aucune animation d'appel — l'écran ne pousse pas au clic, il le rend possible. « Annuler » reste à gauche, en contour neutre, et conserve exactement le poids visuel qu'il avait à l'ouverture.

Spinner et libellé au participe présent, exactement comme users-disable-confirm. Les deux champs sont grisés et « Annuler » est neutralisé : l'opération est transactionnelle côté serveur, on n'offre pas un bouton d'annulation qui n'annulerait rien. La fermeture par la touche Échap et par le clic sur le fond est suspendue pendant ce temps.

Cas de rejeu — deux administrateurs traitant la même demande, ou un onglet resté ouvert. Le bouton d'action disparaît au lieu de rester grisé : il n'y a pas de seconde tentative possible. On renvoie vers le journal d'audit, qui porte la preuve du traitement.

Le bouton d'effacement n'est pas proposé sur sa propre ligne : ce refus n'est atteignable que par un onglet obsolète ou un appel direct. Le message explique le pourquoi — l'auteur de l'acte doit pouvoir en répondre — et donne la marche à suivre, sans culpabiliser.

Seul refus qui laisse une issue : le raccourci « Gérer les rôles » ouvre la modale d'édition du compte, où un autre administrateur peut être nommé. Le message reprend au mot près celui du garde-fou existant sur le changement de rôles — un administrateur ne doit pas découvrir deux formulations pour une même règle.