diff --git a/CHANGELOG.md b/CHANGELOG.md
index 7e2310f..fc5e08a 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -3,6 +3,13 @@
 ## 2026-07-03
 
 ### Ajouté
+- **Cœur Icinga éprouvé (supervision active).** `serveur_icinga` (cœur : `icinga2` + `icingadb` +
+  `icingadb-redis`) déployé sur `sup-01` (🔧→⭐), base `icingadb` PostgreSQL via le registre.
+  **Prouvé** : 3 services actifs, et le moteur **supervise** — IcingaDB peuplée (1 hôte, 12
+  services, résultats de checks persistés en base). Zéro bug de déploiement (rôle bien bâti).
+  **Icinga Web 2 + module BPM restent différés** (phases dédiées : UI native + vues d'impact
+  métier ; le BPM n'est pas remplaçable par Grafana). Confirme aussi le **DRY `resoudre_base`**
+  sur icinga (les 3 rôles consommateurs validés).
 - **Forgejo branché au SSO OIDC (« Se connecter avec Chezlepro ») — 2e app SSO, prouvée.**
   `serveur_forgejo` (10.0.0) éprouvé sur `forge-01` (🔧→⭐), adossé à PostgreSQL (base `forgejo`
   auto-provisionnée depuis le registre), exposé par l'edge (vhost + cert SAN + A PowerDNS + alias
diff --git a/docs/catalogue-services.md b/docs/catalogue-services.md
index 1d4d577..0b4a931 100644
--- a/docs/catalogue-services.md
+++ b/docs/catalogue-services.md
@@ -42,8 +42,9 @@ Plus l'**observabilité sous SSO** (2026-07-03) : `serveur_loki` + `serveur_prom
 Chezlepro » prouvé : `testmail` LDAP → Keycloak → Grafana). Plus **`serveur_forgejo`** (10.0.0,
 sur `forge-01`, PostgreSQL via registre, **branché au SSO OIDC** — 2e app : `testmail` se connecte,
 compte auto-créé). Et **`serveur_redis`** (sur `data-sql-01`, cache réseau, auth obligatoire —
-SET/GET prouvé, accès sans mot de passe refusé). Restent « code non éprouvé » : `serveur_icinga`,
-`serveur_sendmail`.
+SET/GET prouvé, accès sans mot de passe refusé). Et le **cœur `serveur_icinga`** (sur `sup-01` :
+icinga2 + icingadb + redis dédié, base PostgreSQL via registre — supervise, IcingaDB peuplée ;
+**Icinga Web 2 + BPM différés**). Restent « code non éprouvé » : `serveur_sendmail`.
 
 > **Lacunes connues sur Keycloak** (déployé mais pas complet) : la **fédération LDAP** (Keycloak
 > → OpenLDAP, modèle d'identité A) n'est **pas encore automatisée** dans le rôle ; l'**edge nginx**