diff --git a/HANDOFF.md b/HANDOFF.md
index 2b99522..2923fb2 100644
--- a/HANDOFF.md
+++ b/HANDOFF.md
@@ -1,14 +1,20 @@
 # HANDOFF — libreDecision
 
-> Dernière mise à jour : 2026-10-21, session orch du chantier 1.
+> Dernière mise à jour : 2026-10-22, session orch du chantier 1.
 
 ## Où on en est
 
-**Chantier 1 — Acte d'engagement Certification** : **en ligne** sur decision.librodrome.org
-depuis le 2026-10-21 (version `fa8e8dc`, pipeline Woodpecker n° 30) ; la maquette est sur
-maquette.decision.librodrome.org (certificat jusqu'au 19/01/2027). Sur la branche du chantier,
-pas encore en ligne : les points des septième, huitième et neuvième relectures, les **liens d'équipe**
-(demandés par Yvv le 2026-10-21) et la publication vers git.open.us.org.
+**Chantier 1 — Acte d'engagement Certification** : **en ligne** sur decision.librodrome.org,
+version `744d157` depuis le 2026-10-22 (pipeline Woodpecker n° 32 ; avant : `fa8e8dc`, n° 30) ;
+la maquette est sur maquette.decision.librodrome.org (certificat jusqu'au 19/01/2027). En ligne :
+liens d'équipe, nouveau lien de connexion, noms uniques et mention « sur invitation », règles de
+coquilles des relectures 7 à 10, publication vers `yvv/decision-depot-textes-reference` (état et
+« Publier maintenant » dans `/acces`). La publication attend la clé de déploiement (voir plus bas).
+
+Incident du 2026-10-21 : Docker a redémarré sur sonic à 21 h 47 ; l'agent Woodpecker
+`aya-woodpeckerci-local-agent-1` gardait l'ancienne socket (pipeline n° 31 : « Cannot connect to
+the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerci-local-agent-1`
+(fait avec l'accord d'Yvv), puis « Redémarrer » le pipeline dans l'interface Woodpecker.
 
 - v3 Rust + Svelte à la racine du dépôt ; la maquette v2 intacte dans `maquette/`.
 - Boucle : Rust (fmt, clippy `-D warnings`, 69 tests dont 16 scénarios d'API et la
@@ -56,3 +62,13 @@ pas encore en ligne : les points des septième, huitième et neuvième relecture
 - Les retours de Chiara arrivent dans `/acces` → Retours : chacun est un contrôle à repasser.
 - Quand les identifiants connect arrivent : `DEMANDE-CONNECT.md` § « À la réponse ».
 - Chantier suivant (après la mise en production et les retours) : Acte d'engagement forgeron.
+- Restes des relectures, non bloquants, pour la prochaine série :
+  - `publish.rs` : motif `ls-remote` en `refs/heads/<branche>` (une branche `x/main` le trompe) ;
+    « Dernière publication » rattachée au dépôt affiché ; compter les documents en attente, pas
+    les lignes de la file ;
+  - mention « sur invitation » : en `kind <> 'g1'` (tout type futur) ; tests de ce qui s'affiche
+    (révision visible, signalement, bout en bout) ; auteur des retours dans `/acces` avec son type ;
+  - noms : sosies latins étendus et ligatures (ı, ł, œ, ß…), invitations créées par un
+    administrateur sans contrôle de nom ;
+  - `sbom-publish` échoue (curl 60 : certificat du serveur Dependency-Track refusé) — étape en
+    `failure: ignore`, déjà le cas avant la v3.