diff --git a/CHANGELOG.md b/CHANGELOG.md
index 978ba43..7347fbb 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -20,10 +20,22 @@ retirait une fausse impression.
 Ce qui reste gratuit est l'adressage, pas le retour : tout dérive d'un seul chiffre, dans les
 deux sens.
 
-### Ajouté aux points à trancher — deux questions de gouvernance
+### Ajouté aux points à trancher — trois questions de gouvernance
 **Où le responsable désigné est déclaré**, et surtout **comment on en change** : c'est un acte
 au moins aussi sensible que la migration, puisqu'il décide qui pourra la mandater ensuite.
 
+**Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne
+quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par
+contrat mais par accident, exactement ce que la recette existe pour empêcher.
+
+Deux écueils symétriques y sont consignés. Trop lourde, la procédure n'aboutit jamais et le
+tenant reste bloqué. Trop légère, elle devient le **chemin de moindre résistance** pour
+contourner la signature — inutile de forger un mandat si l'on peut se faire attribuer la clé.
+Le recouvrement doit être au moins aussi difficile que ce qu'il protège.
+
+Piste retenue, la plus transposable des registraires : un **contact de secours nommé en même
+temps que le responsable**, tant que personne n'est en situation d'urgence.
+
 **La durée de rétention** : convenue avec qui, consignée où, attestée par qui. Sur une
 séparation d'hébergeur, un flou ici finit en litige.
 
diff --git a/docs/migration-tenant.md b/docs/migration-tenant.md
index 4e467f8..db65fe8 100644
--- a/docs/migration-tenant.md
+++ b/docs/migration-tenant.md
@@ -229,6 +229,20 @@ a révoqué ses accès, il faudrait les rétablir.
 - **Où le responsable désigné est déclaré** dans le plan du tenant, et surtout **comment on
   en change** : c'est un acte au moins aussi sensible que la migration elle-même, puisqu'il
   décide qui pourra la mandater ensuite.
+- **Le recouvrement de la clé du responsable** — elle se perd, se compromet, ou la personne
+  quitte l'organisation. Sans procédure, un tenant devient **inmigrable** : captif non par
+  contrat mais par accident, ce que toute cette recette existe pour empêcher.
+
+  Deux écueils symétriques. Une procédure trop lourde et le recouvrement n'aboutit jamais,
+  donc le tenant reste bloqué. Trop légère et elle devient le **chemin de moindre résistance**
+  pour contourner la signature : inutile de forger un mandat si l'on peut se faire attribuer
+  la clé. Le recouvrement doit être au moins aussi difficile que ce qu'il protège.
+
+  C'est vraisemblablement le **même mécanisme** que le changement de responsable ci-dessus :
+  dans les deux cas, quelqu'un d'extérieur à la clé atteste de l'autorité. Les registraires
+  procèdent hors bande — pièces justificatives, délai d'opposition, contact de secours déclaré
+  d'avance. Ce dernier point est le plus transposable : **un contact de secours nommé en même
+  temps que le responsable**, tant que personne n'est encore en situation d'urgence.
 - **La durée de rétention** avant purge : convenue **avec qui**, consignée **où**, et attestée
   par qui. Sur une séparation d'hébergeur, un flou ici finit en litige — c'est précisément ce
   qu'un contrat écrit d'avance évite.