diff --git a/cle-publique-sauvegarde.txt b/cle-publique-sauvegarde.txt
new file mode 100644
index 0000000..7b99df4
--- /dev/null
+++ b/cle-publique-sauvegarde.txt
@@ -0,0 +1 @@
+ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBYoy+hgr+Nht0Zho5AN42I6KfQPXeR/cf63h2LGOu9L client_backup@genese.internal
diff --git a/inventories/production/group_vars/all/vault.yml.example b/inventories/production/group_vars/all/vault.yml.example
index 4a6ee2b..5304cb1 100644
--- a/inventories/production/group_vars/all/vault.yml.example
+++ b/inventories/production/group_vars/all/vault.yml.example
@@ -38,3 +38,14 @@ vault_nextcloud_admin: ""                     # role serveur_nextcloud (playbook
 vault_nextcloud_oidc: ""                     # role serveur_nextcloud (playbook serveur_nextcloud.yml)
 vault_oauth2_cookie: ""                     # role serveur_oauth2_proxy (playbook serveur_oauth2_proxy.yml)
 vault_sysadmin_amorcage: ""                     # role amorcage_acces (playbook serveur_openldap.yml)
+
+# --- Acces au CLUSTER, exiges hors motif `vault_` ---
+# Ces deux-la ne commencent pas par `vault_` et echappent donc au reperage automatique :
+# c'est P18 qui les exige nommement. Ils ouvrent l'API Proxmox pour cloner les VM.
+#
+# A CREER DANS PROXMOX, propre a patient 0 : Datacenter > Permissions > API Tokens.
+# Un jeton PAR TENANT, revocable seul — recopier celui d'un autre tenant reviendrait a
+# leur donner la meme clef, et a ne plus pouvoir en retirer un sans retirer l'autre.
+# Les poser ensuite : ansible-vault edit inventories/production/group_vars/all/vault.yml
+proxmox_api_token_id: ""
+proxmox_api_token_secret: ""