diff --git a/CHANGELOG.md b/CHANGELOG.md
index 51ec8bc..a98f814 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,25 @@
 # CHANGELOG — Set-OPS
 
+## 2026-09-29 (38) — Frontière appliquée : chaque locataire entre et sort par sa propre adresse
+
+**Appliqué** (plan relu avant) : 47 créés, 2 retirés ; convergé, 0 écart, 336 règles ; pool
+et WAN d'accord (4/4).
+
+**Prouvé par la table d'états de la frontière, pas seulement par un `connect()`.**
+- Sortie : `10.17.20.11` (Chezlepro) sort en `69.70.26.61`, `10.23.20.11` (Technolibre) en
+  `69.70.26.60`.
+- Entrée, depuis l'Internet (le wifi du poste sort par un autre accès, vu comme `69.70.26.50`) :
+  `.61:25 → 10.17.16.21:25` et `.60:25 → 10.23.16.21:25`, chacun avec la bannière de SON
+  `edge-mta-01` ; 465, 587 et 993 en TLS 1.3 sur les deux adresses.
+- Le 80 n'aboutit pas : rien n'écoute sur le web frontal, qui n'a encore aucun site déclaré
+  (`serveur_web_frontal_sites: []`). La chaîne (redirection, filtre, Proxmox, hôte) est posée ;
+  à revérifier au premier site publié, avec son TLS.
+
+**Une erreur de lecture, de ma part.** Un premier test concluait « 25 muet » : il lisait la
+bannière trop tôt, dans une construction shell qui avalait la réponse. Repris avec une vraie
+connexion chronométrée : établie en 0,00 s, bannière immédiate. Le fournisseur de l'accès wifi
+n'y était pour rien (un MX tiers répondait, ce que j'avais vérifié).
+
 ## 2026-09-29 (37) — Les services publics complets : web frontal et courriel chiffré ; `externe` ouvre vraiment chez l'hôte
 
 **Ce qui manquait au plan (36)**, relevé par l'exploitant : le web public vers le web frontal,