diff --git a/HANDOFF.md b/HANDOFF.md
index 410862f..bc51280 100644
--- a/HANDOFF.md
+++ b/HANDOFF.md
@@ -6213,8 +6213,41 @@ a deux endroits comme « lecture seule », et que j'ai repete a un tiers. Ne pas
 confier ce role a un agent externe : `evenement` alimente les annotations
 Grafana, le rapport de nuit et l'attribution des transitions, et une ligne
 etrangere y serait indiscernable des notres. Un role dedie `airtria_ro`, SELECT
-sur `session_charge` et `evenement` uniquement, est en attente de creation par
-le proprietaire. README corrige.
+sur `session_charge` et `evenement` uniquement. README corrige.
+
+⚠️ **MIS A JOUR LE 16/09/2026 — le role EXISTAIT DEJA**, et j'ai affirme deux
+fois dans la nuit du 16 qu'il restait a creer, y compris dans un message envoye
+a la session OpenClaw. C'etait faux : il etait en place, avec exactement les
+deux SELECT du contrat et aucun droit d'ecriture. Ce qui manquait n'etait pas le
+role mais son **mot de passe**, qui ne figurait ni dans le `.env` du projet, ni
+dans celui de la pile d'historisation, ni dans la configuration d'OpenClaw — un
+identifiant que personne ne connaissait. Verifie avant d'agir : aucune reference
+au role dans les variables du conteneur `openclaw-gateway`, donc rien ne
+l'utilisait et un renouvellement etait sans risque.
+
+Fait le 16/09 : mot de passe renouvele (range dans `AIRTRIA_RO_PASSWORD` du
+`.env` du projet, ignore par git) et `CONNECTION LIMIT 5` pose, pour qu'un agent
+emballe ne puisse pas epuiser le pool. Verifie par 14 essais depuis le poste :
+SELECT autorise sur `session_charge` et `evenement`, refuse sur les sept autres
+tables, et refuse pour INSERT, UPDATE, DELETE, CREATE TABLE et la lecture de
+`pg_authid`. Acces reseau confirme : `pg_hba` porte
+`host all all all scram-sha-256` et le port 5433 est joignable depuis
+10.10.10.17, ou tourne OpenClaw.
+
+⚠️ Le mot de passe ne doit PAS transiter par un message a la session OpenClaw :
+c'est au proprietaire de le lui remettre.
+
+⚠️ **ET LE RENOUVELLEMENT A CASSE LE CONCIERGE.** Quelques minutes apres, la
+session OpenClaw a repondu qu'elle EST codee pour se connecter en `airtria_ro`
+et qu'elle avait lu la table `evenement` le soir meme. Ma verification etait
+insuffisante : je n'ai regarde que `Config.Env` du conteneur
+`openclaw-gateway`, alors qu'elle porte l'identifiant dans son code. J'ai conclu
+« rien ne l'utilise » d'une absence de preuve.
+
+LECON, et elle est generale : avant de renouveler un identifiant, l'absence de
+trace dans les endroits ou JE range mes secrets ne prouve pas qu'il est inutilise.
+Le seul test concluant est de demander a l'utilisateur presume — ici une session
+pair, joignable en une minute par SendMessage. Je ne l'ai pas fait.
 
 ---
 *Document mis a jour le : 13/09/2026 (soir) — six etiquettes de vehicule corrigees, frontiere de branchement lue dans le journal, contrat du concierge arrete*