diff --git a/HANDOFF.md b/HANDOFF.md
index acc158d..8ce8c5b 100644
--- a/HANDOFF.md
+++ b/HANDOFF.md
@@ -5554,3 +5554,42 @@ Meme lecon que le 04/09 (colonne « Excedent » integralement nulle, 19/19 verte
 
 ---
 *Document mis a jour le : 07/09/2026 — tableau « La journee », report de la derniere valeur (et non de la moyenne) dans les trois constructeurs de requetes*
+
+
+### Acces a l'API Grafana — la cause des 401 etait mon extraction
+
+⚠️ **Rectification.** J'avais conclu, et ecrit dans le message du commit
+`686c2ba`, que le `GRAFANA_ADMIN_PASSWORD` du `.env` « n'est pas celui en
+service » et que Grafana n'appliquait la variable qu'a la creation du compte.
+**C'est faux.** Le proprietaire a verifie : c'est bien le mot de passe de sa
+session.
+
+La valeur est **entre guillemets** dans `deploy/historisation/.env` (18
+caracteres bruts pour un mot de passe de 16). Mon extraction les transmettait
+tels quels a `curl`, d'ou le 401. Retirer les guillemets encadrants suffit :
+
+```sh
+V=$(sudo sed -n 's/^GRAFANA_ADMIN_PASSWORD=//p' .env | tr -d '\r\n')
+PW=$(printf '%s' "$V" | sed -e 's/^"//' -e 's/"$//')
+```
+
+L'API repond alors du premier coup. Interroger un panneau se fait par
+`/api/ds/query` depuis l'interieur du conteneur `evcs-grafana` :
+
+```sh
+sudo /usr/local/bin/docker cp charge.json evcs-grafana:/tmp/pl.json
+sudo /usr/local/bin/docker exec evcs-grafana curl -s -u "admin:$PW" \
+  -H "Content-Type: application/json" -X POST --data @/tmp/pl.json \
+  http://localhost:3000/api/ds/query
+```
+
+Le corps est `{"from": <ms>, "to": <ms>, "queries": [<la target du panneau>]}`.
+C'est le seul moyen de voir ce que le SERVEUR renvoie au panneau — le
+vérificateur de tableaux, lui, ne fait qu'executer la requete en direct sur la
+base, ce qui masque exactement ce genre d'ecart.
+
+⚠️ Le fichier `.env` est en 600 et ignore par git (`.gitignore` ligne 19) : il
+n'est jamais parti dans le depot.
+
+---
+*Document mis a jour le : 08/09/2026 — acces API Grafana retabli, rectification sur la cause des 401*