diff --git a/CHANGELOG.md b/CHANGELOG.md
index a1a909e..88b1c81 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,35 @@
 # CHANGELOG — Set-OPS
 
+## 2026-08-12 — Un tenant périmé injecte ses vieilles adresses dans le pare-feu partagé
+
+Après le renumérotage de Chezlepro, la frontière portait encore **17 adresses `10.21.x`**
+— l'ancienne plage de **Technolibre**. Et `frontiere-plan` répondait *« la frontière dit
+déjà ce que le devis dit »*.
+
+Les deux étaient vrais. La frontière construit deux natures d'objets :
+
+| Objet | Source | Comportement |
+|---|---|---|
+| `SETOPS_TENANT_<T>` (réseau) | **la formule** (`sous_reseau_de`) | s'est recalculé seul → `10.11` |
+| `SETOPS_<T>_SERVEUR_*` (hôtes) | **le `hosts.yml` du tenant** | est resté à `10.21` |
+
+Le devis lisait donc *fidèlement* une entrée périmée, et l'annonçait conforme. **Le
+contrôle n'était pas faux — son intrant l'était.**
+
+### Ce que ça révèle
+
+La frontière est **partagée entre tous les tenants**, mais `P03` ne vérifie la fraîcheur
+de l'inventaire que pour l'instance **active**. Un tenant qu'on ne regarde pas — parce
+qu'il n'a aucune VM, précisément — continue d'imposer ses adresses au pare-feu de tout le
+monde, sans qu'aucune preuve ne s'en aperçoive.
+
+Corrigé en régénérant l'inventaire de Technolibre puis en réappliquant. Vérifié non pas
+sur le devis mais sur la **configuration réelle du boîtier**, téléchargée et relue : il ne
+reste que `10.0` (underlay), `10.11` et `10.17`. Zéro `10.21`, zéro `10.27`.
+
+> **Ce qui manque encore** : rien ne prouve que *chaque* tenant fédéré a un inventaire à
+> jour. P03 devrait boucler sur les instances découvertes, pas seulement sur l'active.
+
 ## 2026-08-12 — P03 peut enfin échouer, et elle échoue
 
 `instancier.py comparer` affichait l'écart puis renvoyait **toujours `0`**. La preuve P03