diff --git a/CHANGELOG.md b/CHANGELOG.md
index 506c3c9..b63768c 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -246,7 +246,39 @@ les trois cles d'hote SSH persistent hors de cloud-init.
 C'est fort, ce n'est pas un redemarrage. La confirmation finale tient en une ligne, a
 lancer par un humain sur une machine de son choix.
 
-### Le SITE : le changement y est ARME, pas applique
+### Le SITE : fait le 2026-09-09 — 7/7
+
+`make site-appliquer GROUPE=serveur_durci` : **7 hotes, 0 echec, 0 injoignable**.
+Configuration reseau intacte sur les sept, `ifquery` rend l'adresse attendue sur chacune
+(`10.0.31.11`, `10.0.33.11`...), zero unite cloud-init restante, zero unite en echec.
+
+Le site HEBERGE — c'est ce qui rendait l'operation plus lourde que chez le tenant. Verifie
+apres coup, depuis les machines qui ont le flux : la forge repond `HTTP 200` et sert
+toujours ce depot au bon commit ; le cache APT repond `HTTP 200` ; le DNS resout
+`forge.genese.internal` ; step-ca rend `{"status":"ok"}`.
+
+Le site ne portait pas le piege `openipmi` : il n'applique pas `client_metrique`.
+
+*(Ce paragraphe remplace celui qui disait le changement « arme, pas applique » — et qui
+disait aussi, a tort, qu'il fallait passer par `site-ops-01`. `make site-appliquer`
+fonctionne depuis le poste.)*
+
+### Trouve en verifiant : `site-backup-01` n'a jamais recu `client_pki`
+
+Elle est DANS le groupe `client_pki` — et elle n'a ni `/etc/step`, ni minuterie de
+renouvellement, ni meme la racine de l'AC dans `/usr/local/share/ca-certificates/`. Les
+six autres machines du site ont leur certificat et leur minuterie quotidienne, qui tourne.
+
+L'appartenance au groupe dit « couverte ». La machine dit le contraire. C'est la meme
+famille que le reste : *un perimetre declare n'est pas un perimetre mesure.* Sans rapport
+avec le retrait de cloud-init — trouve en le verifiant.
+
+**Non corrige** : `make site-appliquer GROUPE=client_pki` le poserait (essai a blanc :
+sept changements, dont l'etablissement de la confiance). L'echec que le mode simulation
+affiche sur `root_ca.crt` est un artefact — le fichier manque parce que le bootstrap n'a
+ete que simule.
+
+### Ce qui restait a faire (historique)
 
 `SITE-Chezlepro` est **une autre instance de ce depot** — meme
 `playbooks/groupes/serveur_durci.yml`, memes roles. Ses sept machines actives