docs: update documentation for kretprobe recvfrom fix

Update all documentation to reflect the resolved HTTP nginx capture
issue via kretprobe on __x64_sys_recvfrom.

Changes:
- README.md: Update HTTP status table showing kretprobe is now working
- docs/services/ja4ebpf.md: Replace tracepoint with kretprobe in hooks table,
  mark issue as resolved with validation reference
- docs/architecture.md: Clarify TC HTTP plain capture is packet-level only

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

docs/architecture.md

@@ -16,7 +16,7 @@ ja4-platform est un pipeline de sécurité qui capture le trafic réseau en temp
 |  |  (eBPF CO-RE)   |                              |
 |  |  TC ingress     |<-- L3/L4/L5 (SYN, TLS CH)   |
 |  |  uprobe SSL_read|<-- L7 HTTPS (déchiffré)       |
-|  |  kprobe tcp_recv|<-- L7 HTTP port 80/8080      |
+|  |  TC HTTP plain  |<-- L7 HTTP port 80/8080 (paquets) |
 |  |  256-shard mgr  |  corrélation src_ip:src_port  |
 |  +--------+--------+                              |
 |           |                                       |
@@ -70,7 +70,7 @@ INSERT (Native TCP :9000)
 
 2. **ja4ebpf uprobes SSL_read/SSL_write** s’attachent à `SSL_read` et `SSL_write` dans la bibliothèque OpenSSL/BoringSSL du serveur web. Les données déchiffrées sont écrites dans un PerfEventArray eBPF. Des tracepoints sur `accept4` fournissent la correspondance `fd → src_ip:src_port` pour annoter chaque buffer L7.
 
-3. **ja4ebpf TC ingress HTTP plain** (port 80/8080) capture les payloads TCP en clair directement depuis le hook TC ingress pour les connexions non chiffrées.
+3. **ja4ebpf TC ingress HTTP plain** (port 80/8080) capture les payloads TCP en clair directement depuis le hook TC ingress pour les connexions non chiffrées. Limité aux segments de données TCP (pas de reconstitution de flux multi-paquets).
 
 ### Phase 2 — Corrélation en mémoire
 
@@ -262,7 +262,7 @@ Les deux empreintes sont générées par **ja4ebpf** (espace utilisateur Go) à
 | Composant | Technologie |
 |-----------|-------------|
 | Capture réseau (L3/L4/L5) | Go 1.24.6 + eBPF CO-RE (TC ingress, cilium/ebpf) |
-| Capture applicative (L7) | eBPF uprobe SSL_read + kprobe tcp_recvmsg |
+| Capture applicative (L7) | eBPF uprobe SSL_read + TC HTTP plain |
 | Corrélation en mémoire | Go 1.24.6 (256-shard manager, goroutines) |
 | Détection ML — EIF | Python 3.11 + isotree |
 | Détection ML — NFEnsemble | Python 3.11 + PyTorch |