diff --git a/.env.example b/.env.example
index 0c8dfc0..ace6a89 100644
--- a/.env.example
+++ b/.env.example
@@ -6,9 +6,10 @@
 # -----------------------------------------------------------------------------
 # Application
 # -----------------------------------------------------------------------------
-# Nom de domaine public de l'app sur le VPS. Sert à trois choses :
-# le callback OIDC, l'URL d'image envoyée à l'écran, et les liens du README.
-APP_DOMAIN=trmnl.loxi.ch
+# Nom de domaine public de l'app sur le VPS. Un seul domaine sert à la fois
+# l'écran et le navigateur : le callback OIDC, l'URL d'image envoyée au panneau
+# et les liens du README en dépendent tous. Doit rester cohérent avec AUTH_URL.
+APP_DOMAIN=horaires.loxi.ch
 # Port publié en local (dev). En production, Traefik s'en charge : aucun port publié.
 APP_PORT=3010
 APP_BIND=127.0.0.1
@@ -28,19 +29,26 @@ TEST_DATABASE_URL=
 # -----------------------------------------------------------------------------
 # Authentification — Authentik (OIDC, Authorization Code + PKCE)
 # -----------------------------------------------------------------------------
-# Doit correspondre EXACTEMENT à l'`issuer` du document de découverte :
-#   https://auth.loxi.ch/application/o/<SLUG>/.well-known/openid-configuration
-AUTHENTIK_ISSUER=https://auth.loxi.ch/application/o/CHANGEME/
-AUTHENTIK_CLIENT_ID=
-AUTHENTIK_CLIENT_SECRET=
-# Groupe Authentik dont les membres sont administrateurs. Les autres utilisateurs
-# authentifiés sont en lecture seule (rôle `viewer`).
-AUTHENTIK_ADMIN_GROUP=horaires-admins
-# URL publique complète de l'app. L'URI de redirection à déclarer dans Authentik est
-# <NEXTAUTH_URL>/api/auth/callback/authentik
-NEXTAUTH_URL=https://trmnl.loxi.ch
+# Noms de variables imposés par Auth.js v5, identiques au projet api_llm_loxi :
+# le provider est découvert automatiquement à partir d'AUTH_AUTHENTIK_*.
+#
+# URI de redirection à déclarer dans Authentik (correspondance stricte) :
+#   <AUTH_URL>/api/auth/callback/authentik
+AUTH_URL=https://horaires.loxi.ch
 # Générer avec : openssl rand -base64 33
-NEXTAUTH_SECRET=
+AUTH_SECRET=
+
+AUTH_AUTHENTIK_ID=
+AUTH_AUTHENTIK_SECRET=
+# Doit correspondre EXACTEMENT à l'`issuer` du document de découverte, slash
+# final compris :
+#   https://auth.loxi.ch/application/o/<SLUG>/.well-known/openid-configuration
+AUTH_AUTHENTIK_ISSUER=https://auth.loxi.ch/application/o/horaires-ita-ito/
+# Libellé du bouton sur la page de connexion.
+AUTHENTIK_DISPLAY_NAME=Loxi
+# Groupe Authentik dont les membres sont administrateurs. Tout autre utilisateur
+# authentifié est en lecture seule (rôle `viewer`).
+AUTHENTIK_ADMIN_GROUP=horaires-admins
 
 # -----------------------------------------------------------------------------
 # Écran e-ink — API appareil (BYOS)
diff --git a/.env.swp b/.env.swp
new file mode 100644
index 0000000..48d7bb2
Binary files /dev/null and b/.env.swp differ