diff --git a/CHANGELOG.md b/CHANGELOG.md
index 09b8051..2da79f1 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,13 @@
 # CHANGELOG — Set-OPS
 
+## 2026-07-07 (soir)
+
+### Modifié
+- **GUI : intégration des intrants de session.** Le panneau « Intrants de base » expose désormais
+  **`nftables_admin_ssh`** (type liste, section « Sécurité ») — la garde anti-lockout du pare-feu
+  était éditable en fichier mais absente du GUI. Retrait de `vault_step_ca_fingerprint` des secrets
+  attendus (empreinte du root CA désormais dérivée dynamiquement, plus un secret). `node --check` OK.
+
 ## 2026-07-07 — Reconstruction from-zero PROUVÉE (preuve de portabilité « sans réserve »)
 
 Les 14 VM du lab (+ sauvegardes + AC) supprimées, puis `make myDay` a reconstruit l'écosystème
diff --git a/scripts/inventory_gui.py b/scripts/inventory_gui.py
index 9e1a1c7..8416576 100644
--- a/scripts/inventory_gui.py
+++ b/scripts/inventory_gui.py
@@ -81,6 +81,7 @@ INTRANTS_SCHEMA = [
     ("fuseau_horaire", "identite", "defaut", "Identité", "Fuseau horaire", "str"),
     ("organisation", "identite", "defaut", "Identité", "Organisation (annuaire LDAP, certificats)", "str"),
     ("identite_realm", "identite", "defaut", "Identité", "Realm SSO (Keycloak)", "str"),
+    ("nftables_admin_ssh", "identite", "catalogue", "Sécurité", "Sources SSH d'administration toujours autorisées (garde anti-lockout du pare-feu)", "liste"),
     ("proxmox_api_host", "proxmox", "constante", "Proxmox", "Hôte API Proxmox", "str"),
     ("proxmox_api_user", "proxmox", "constante", "Proxmox", "Utilisateur API", "str"),
     ("proxmox_api_port", "proxmox", "constante", "Proxmox", "Port API", "str"),
@@ -101,7 +102,7 @@ INTRANTS_CLES_INTERDITES = {
 # Rappel en lecture seule (jamais de valeur) : secrets a fournir via Ansible Vault.
 SECRETS_ATTENDUS = [
     "proxmox_api_token_id", "proxmox_api_token_secret",
-    "vault_step_ca_password", "vault_step_ca_fingerprint", "vault_step_ca_provisioner_password",
+    "vault_step_ca_password", "vault_step_ca_provisioner_password",
     "vault_openldap_admin", "vault_ldap_sssd", "vault_keycloak_admin",
     "vault_postgresql_keycloak", "vault_bd_keycloak", "vault_forgejo_admin",
     "vault_forgejo_secret_key", "vault_forgejo_internal_token", "vault_bd_forgejo",