diff --git a/CHANGELOG.md b/CHANGELOG.md
index 9c63c40..9a4d108 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,23 @@
 # CHANGELOG — Set-OPS
 
+## 2026-09-28 (23) — Grafana des locataires : aucune donnée, parce que l'URL de Loki ne suivait pas son TLS
+
+**Signalé par l'exploitant** : une erreur de plugin et aucun panneau rempli sur les Grafana
+d'`obs-01`, chez les deux locataires.
+
+**Cause.** Les locataires activent `serveur_loki_tls_actif` : Loki sert en HTTPS. La source
+Loki de Grafana était écrite en dur, `http://localhost:3100` : Loki coupait la connexion
+(« connection reset by peer »). Les tableaux construisent leur variable `host` depuis Loki
+— 21 appels en échec sur `label/host/values` —, elle restait vide, et AUCUN panneau
+n'affichait rien, ceux de Prometheus compris. Le même défaut que la sonde de Loki, corrigé
+pour elle seule le 2026-09-10 : un paramètre qui ne suit pas l'interrupteur dont il dépend.
+
+**Correctif.** `serveur_grafana_loki_url` se DÉRIVE de `serveur_loki_tls_actif` de l'hôte
+Loki : en TLS, `https://<fqdn>:3100` — le nom qui est dans le certificat, `localhost` n'y est
+pas ; l'autorité interne est dans le magasin de confiance du système, Grafana vérifie. Sans
+TLS (le site), rien ne change. Vérifié par l'API de Grafana chez les deux locataires : Loki
+et Prometheus sains, 13 hôtes rendus pour `host`, plus aucune erreur Loki au journal.
+
 ## 2026-09-28 (22) — Pairs WireGuard de Technolibre appliqués ; un renommage n'est plus une création
 
 **Appliqué** (`vpn_admin.py appliquer --portee OPS-Technolibre`, à la demande de l'exploitant) :
diff --git a/roles/serveur_grafana/defaults/main.yml b/roles/serveur_grafana/defaults/main.yml
index ba0f1af..0bd2392 100644
--- a/roles/serveur_grafana/defaults/main.yml
+++ b/roles/serveur_grafana/defaults/main.yml
@@ -11,7 +11,19 @@ serveur_grafana_root_url: "https://{{ serveur_grafana_hostname }}/"
 
 # Datasources (Prometheus + Loki, co-localises sur obs-01).
 serveur_grafana_prometheus_url: "http://localhost:9090"
-serveur_grafana_loki_url: "http://localhost:3100"
+# L'URL DE LOKI SUIT L'INTERRUPTEUR TLS DE LOKI (2026-09-28). Elle etait ecrite en dur,
+# `http://localhost:3100`, alors que les locataires activent `serveur_loki_tls_actif` : Loki
+# servait en HTTPS, Grafana lui parlait en clair, et Loki coupait la connexion. Les tableaux
+# construisent leur variable `host` depuis Loki — elle restait vide, et AUCUN panneau
+# n'affichait rien, Prometheus compris. Meme defaut que la sonde de Loki, corrige pour elle
+# le 2026-09-10 : un parametre qui ne suit pas l'interrupteur dont il depend.
+# En TLS, le NOM qui est dans le certificat (le FQDN) — pas `localhost`, qui n'y est pas.
+# L'autorite interne est dans le magasin de confiance du systeme : Grafana verifie.
+serveur_grafana_loki_hote: "{{ (groups.get('serveur_loki') or [inventory_hostname]) | first }}"
+serveur_grafana_loki_tls: "{{ hostvars[serveur_grafana_loki_hote].serveur_loki_tls_actif | default(false) | bool }}"
+serveur_grafana_loki_url: >-
+  {{ ('https://' ~ serveur_grafana_loki_hote ~ '.' ~ domaine_interne)
+     if serveur_grafana_loki_tls | bool else 'http://localhost' }}:3100
 # Dashboards provisionnés (fichiers) — répertoire lu par le provider Grafana.
 serveur_grafana_dashboards_dir: "/var/lib/grafana/dashboards"