diff --git a/HANDOFF.md b/HANDOFF.md
index bb08b0c..2c84ebb 100644
--- a/HANDOFF.md
+++ b/HANDOFF.md
@@ -36,8 +36,9 @@ the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerc
 - Relectures indépendantes avant mise en ligne, chacune traitée avant de livrer : `1f9c241 :
   ok`, `94907af : ok`, puis quatre « à reprendre » (`ac9c904`, `9203fd2`, `1eac6f8`, `6c0754a`),
   toutes sur la même question : une « coquille » (sans vote, publiée) qui change un sens, puis
-  `fa8e8dc : ok` (mis en ligne), `c3d6bf8 : ok`, `fd19dbf : ok`, `753b522 : ok`, `8a32160 : ok`, `850f9c4 : ok`. La
-  règle est désormais simple et explicable : **une coquille touche les lettres et les espaces,
+  `fa8e8dc : ok` (mis en ligne), `c3d6bf8 : ok`, `fd19dbf : ok`, `753b522 : ok`, `8a32160 : ok`,
+  `850f9c4 : ok`, `744d157 : ok` (en ligne) ; pour les sessions : `cf634c2 : ok`, `decbc0b : à
+  reprendre`, `dc2de09 : ok` (prêt à mettre en ligne). La règle est désormais simple et explicable : **une coquille touche les lettres et les espaces,
   rien d'autre** (CHANTIER.md, ADR 0003). Autres points traités : ordre des workflows, anciens
   conteneurs en `restart: always`, vote réservé aux membres de la toile dans Monnaie libre (une
   personne, une voix), lien d'invitation jamais vers une identité Ğ1, réservation du lien avant
@@ -76,4 +77,9 @@ the Docker daemon », rien construit). Remède : `docker restart aya-woodpeckerc
   - noms : sosies latins étendus et ligatures (ı, ł, œ, ß…), invitations créées par un
     administrateur sans contrôle de nom ;
   - `sbom-publish` échoue (curl 60 : certificat du serveur Dependency-Track refusé) — étape en
-    `failure: ignore`, déjà le cas avant la v3.
+    `failure: ignore`, déjà le cas avant la v3 ;
+  - sessions (relecture de `dc2de09`) : un contrôle e2e « nouveau lien, fermer ses sessions, le
+    lien disparaît » ; la réservation d'un lien et l'ouverture de sa session dans une même
+    transaction (sinon un lien ouvert à l'instant de la fermeture laisse une session) ; après
+    « Annuler » une invitation dans la liste, retirer aussi le lien affiché (défaut déjà en
+    ligne) ; `Cache-Control: no-store` sur `/api`.
diff --git a/docs/chantiers/acte-certification/ONBOARDING.md b/docs/chantiers/acte-certification/ONBOARDING.md
index 86a0d7f..1a0b5b0 100644
--- a/docs/chantiers/acte-certification/ONBOARDING.md
+++ b/docs/chantiers/acte-certification/ONBOARDING.md
@@ -19,8 +19,8 @@ les contradictions, l'inertie votée, la publication. Puis `CONTROLES.md` : ce q
 Le lien d'invitation s'ouvre **une seule fois** et expire en 14 jours ; il ouvre ta session sur
 ce navigateur. Elle reste ouverte tant que tu reviens au moins une fois par an, jusqu'à ce que
 tu te déconnectes ou qu'un administrateur la ferme (appareil perdu, par exemple). Sur un autre
-appareil, demande à Yvv un nouveau lien de connexion. Si Yvv t'envoie plutôt un **lien d'équipe** (`/equipe#…`), il te demande ton nom et
-te crée ta propre identité ; ne l'ouvre qu'une fois, puis reviens par ta session.
+appareil, demande à Yvv un nouveau lien de connexion. Si Yvv t'envoie plutôt un **lien
+d'équipe** (`/equipe#…`), il te demande ton nom et te crée ta propre identité ; ne l'ouvre qu'une fois, puis reviens par ta session.
 
 ## 3. Tester sans rien installer