diff --git a/docs/audit/preuve-2026-09-13.md b/docs/audit/preuve-2026-09-13.md
index 7c287b8..5951ed4 100644
--- a/docs/audit/preuve-2026-09-13.md
+++ b/docs/audit/preuve-2026-09-13.md
@@ -46,7 +46,7 @@
 | P31 | Documentation : tout ce que le depot FAIT est nomme | — | ✅ OK | 63 scripts expliques et atteignables, 121 cibles make documentees, 68 roles avec README. |
 | P32 | Intrants exiges par les roles : tous fournis | — | ✅ OK | CONFORME : 38 exigence(s) de role, toutes satisfaites (139 cle(s) declaree(s) par l'instance). |
 | P33 | Aucune collision de port entre roles co-localises | — | ✅ OK | CONFORME : 34 revendication(s) de port, aucune collision entre roles co-localises (36 groupes). |
-| P34 | Chaque document declare son lecteur | — | ✅ OK | 44 document(s) declarent leur lecteur (39 genere(s) exempte(s)). |
+| P34 | Chaque document declare son lecteur | — | ✅ OK | 45 document(s) declarent leur lecteur (39 genere(s) exempte(s)). |
 | P35 | Toute application exigeant une base en a une au plan | — | ✅ OK | 5 application(s) exigeant une base l'ont toutes (4 entree(s) au registre). |
 | P36 | Tout detenteur d'etat porte une sauvegarde | — | ✅ OK | 9 hote(s) de l'ecosysteme et 3 du site detiennent de l'etat, tous porteurs de `client_backup` (9 groupe(s) au catalogue). |
 | P37 | Le placement du tenant existe chez son hebergeur | — | ✅ OK | placement confronte a l'hebergeur monte (SITE-Chezlepro) : noeud, stockage, pont — tous offerts. |
diff --git a/docs/carte-set-ops.md b/docs/carte-set-ops.md
index 07a8e60..76c7e07 100644
--- a/docs/carte-set-ops.md
+++ b/docs/carte-set-ops.md
@@ -25,7 +25,7 @@ README de rôles). Cette page comble ces deux trous.
 |---|---|---|
 | rôles | 68 | `roles/*/` |
 | README de rôles | 68 | `roles/*/README.md` — l'écart avec la ligne au-dessus est la dette |
-| documents | 40 | `docs/*.md` |
+| documents | 41 | `docs/*.md` |
 | pièces d'audit | 44 | `docs/audit/*` |
 | unités de wiki | 27 | `wiki/*.md` |
 | décisions en vigueur | 85 | lignes `\| **D-nn** \|` de `decisions-architecture.md` |
diff --git a/docs/schemas-flux.md b/docs/schemas-flux.md
new file mode 100644
index 0000000..ca89200
--- /dev/null
+++ b/docs/schemas-flux.md
@@ -0,0 +1,67 @@
+# Les schémas de flux — où ils sont, et ce qu'ils montrent
+
+> **Pour qui :** le **mainteneur**, quand il cherche une page existante ou qu'il en
+> écrit une neuve. Les pages elles-mêmes visent d'autres lecteurs — ce tableau le dit
+> pour chacune.
+
+Ces pages expliquent **comment les choses sont configurées et interconnectées**. Ce ne sont
+pas des comptes rendus : elles ne relatent aucun incident, ne datent aucune panne et ne
+comptent aucune machine tombée. Ce travail-là appartient au `CHANGELOG.md` et à
+`docs/decisions-architecture.md`.
+
+Une page de cette série répond à une seule question : *par où passe telle chose, et
+pourquoi par là*.
+
+## La série
+
+| # | Page | Ce qu'elle montre |
+|---|---|---|
+| 1 | [La chaîne de l'heure](https://claude.ai/code/artifact/fd050fd8-12b1-4db0-91a3-eac7cf19ee65) | Du satellite aux machines par la frontière — une seule sortie |
+| 2 | [La vie d'un certificat](https://claude.ai/code/artifact/77f067e0-336d-445a-ac31-c6f8eab10d73) | Racine, émission, renouvellement, consommateurs, contrôle |
+| 3 | [Comment un nom devient une adresse](https://claude.ai/code/artifact/8cdc642f-f1ea-4ff2-ab87-41d2e1d93fd3) | Le plancher, le résolveur, l'autoritatif — dans cet ordre |
+| 4 | [D'où vient un paquet](https://claude.ai/code/artifact/5c669f67-ad83-4b4f-9255-98dc0040db7b) | Le cache, ses deux faces, et les deux langues d'apt |
+| 5 | [Une identité, un mot de passe](https://claude.ai/code/artifact/3ea86b63-893f-4795-b391-1f75876dace7) | L'annuaire, la fédération, la passerelle — et qui a droit à quoi |
+| 6 | [Ce qu'on ne peut pas refaire](https://claude.ai/code/artifact/fd0073dc-6ad8-401d-a5a6-f31d304e7092) | La sauvegarde : ce qui part, ce qui ne part pas, qui vérifie |
+| 7 | [Trois canaux, trois sens](https://claude.ai/code/artifact/306bde34-f29c-4396-b43c-7dfeefc259aa) | Verdicts poussés, chiffres tirés, journaux expédiés |
+| 8 | [Le trajet d'un courriel](https://claude.ai/code/artifact/0b9b96ea-8d7d-4c40-8461-897a2c11a829) | Deux machines, un annuaire, une remise vérifiée |
+
+## Ce qui les relie
+
+| Page | Ce qu'elle montre |
+|---|---|
+| [Ce qui relie un locataire à son site](https://claude.ai/code/artifact/28f81e5d-4e71-48ee-aadc-43c4ba9353f9) | Les six liens de la filiation, et ce que coupe chacun |
+
+## Pages destinées à quelqu'un d'autre que le mainteneur
+
+Registre différent : pas de nom de logiciel en titre, pas de vocabulaire de doctrine.
+
+| Page | Pour qui |
+|---|---|
+| [La maison TechnoLibre](https://claude.ai/code/artifact/bc2b441f-3f39-4659-8399-e61615f778cf) | Le propriétaire d'un écosystème — ce qu'il ouvre, où sont ses affaires |
+| [Où commence le système](https://claude.ai/code/artifact/3bffbc9c-018e-4e42-95d1-103b98139589) | Positionnement face à Coolify et Cloud in a Bottle |
+| [Deux sites, un tunnel](https://claude.ai/code/artifact/8cbc0ddc-6110-4bc6-906d-90e6a0eba987) | Plan de niveau 3 des deux sites reliés |
+| [Un écosystème Set-OPS](https://claude.ai/code/artifact/6ca4514e-6227-4bb6-b07e-ef6690cc156a) | Article promotionnel — résultat et capacités |
+| [Inventaire libre](https://claude.ai/code/artifact/ee444b6a-0605-4dce-972d-b9f090f2011e) | La liste des logiciels libres de la solution |
+
+## La règle d'écriture
+
+**Garder le mécanisme et sa raison. Retirer l'anecdote, la date, la durée, le nombre de
+machines touchées.**
+
+Un réglage mérite souvent son explication — `harden-below-nxdomain: no` n'a aucun sens sans
+savoir que la racine signée nie le domaine `internal.`. Ça reste. Ce qui ne reste pas, c'est
+combien de temps il a fallu pour le comprendre.
+
+Les chiffres sont admis quand ils donnent un **ordre de grandeur utile** (« un écosystème
+de quatorze machines demande environ 1,3 Go de paquets »), pas quand ils racontent une
+soirée particulière.
+
+## Quand les relire
+
+Une page décrit une configuration : elle vieillit quand la configuration change. Les points
+à revérifier après une modification d'architecture sont, dans l'ordre :
+
+- un **service prêté** ajouté ou retiré → pages 4, 6 et celle des liens
+- un **renumérotage** → toutes les pages qui portent une adresse
+- une **bascule** (résolveur, cache, sauvegarde) → pages 3, 4, 6
+- un **rôle neuf avec une sonde** → page 7