diff --git a/roles/serveur_keycloak/defaults/main.yml b/roles/serveur_keycloak/defaults/main.yml
index ff3167a..659f8b3 100644
--- a/roles/serveur_keycloak/defaults/main.yml
+++ b/roles/serveur_keycloak/defaults/main.yml
@@ -28,6 +28,8 @@ serveur_keycloak_realm: "chezlepro"
 # Thèmes du realm (déployés depuis files/themes/). Vide = thème Keycloak par défaut.
 serveur_keycloak_login_theme: ""
 serveur_keycloak_account_theme: ""
+# Cache des ressources de thème. true = prod (perf). false = lab (voir les tweaks sans casse-cache).
+serveur_keycloak_theme_cache: true
 serveur_keycloak_ldap_nom: "openldap"
 # Connexion à l'annuaire (url, users_dn, bind_dn, bind_password) : fournie par le rôle
 # partagé resoudre_annuaire (voir tasks/main.yml « Adopter la connexion annuaire »).
diff --git a/roles/serveur_keycloak/templates/keycloak.conf.j2 b/roles/serveur_keycloak/templates/keycloak.conf.j2
index 0628f2d..04a8373 100644
--- a/roles/serveur_keycloak/templates/keycloak.conf.j2
+++ b/roles/serveur_keycloak/templates/keycloak.conf.j2
@@ -8,6 +8,13 @@ db-username={{ serveur_keycloak_entree.proprietaire }}
 hostname={{ serveur_keycloak_hostname }}
 proxy-headers=xforwarded
 http-enabled=true
+{% if not serveur_keycloak_theme_cache | default(true) %}
+
+# Lab : cache de themes desactive pour iterer le thème sans casse-cache navigateur.
+spi-theme-static-max-age=-1
+spi-theme-cache-themes=false
+spi-theme-cache-templates=false
+{% endif %}
 {% if serveur_keycloak_ldap_federation %}
 
 # Truststore (racine step_ca via le bundle systeme) pour valider LDAPS vers OpenLDAP.