Full web : clusters gérés dans l'UI, primaire et cibles, comptes pve

.env.example

@@ -1,6 +1,6 @@
 # Copier en .env (ignoré par Git) puis adapter : cp .env.example .env
-# Lu par docker compose (substitution ${...} et env_file des services) ; avec la CLI
-# ou `serve` hors conteneur : set -a; . ./.env; set +a
+# Lu par docker compose (substitution ${...} et env_file des services) ; hors
+# conteneur : set -a; . ./.env; set +a
 # Les lignes commentées donnent la valeur par défaut. Pour les secrets, préférer la
 # variante _FILE (secret docker monté dans /run/secrets) à une valeur en clair ici.
 
@@ -9,29 +9,27 @@ TZ=Europe/Paris
 # Port publié par docker-compose.demo.yml
 # CONFSYNC_PORT=8080
 
-# ---------- Interface web (pve-confsync serve) ----------
+# ---------- Interface web ----------
 # LISTEN=:8080
 # DATA_DIR=/data                       # base SQLite, secret.key, session.key
 # SESSION_TTL=12h                      # durée Go : 30m, 8h, 24h…
 # CONFSYNC_DEMO=false                  # true : faux clusters PVE, base temporaire
 
-# Clé AES-256 des secrets en base (64 caractères hex ou base64 de 32 octets) :
+# Clé AES-256 des mots de passe root en base (64 caractères hex ou base64 de 32 octets) :
 #   openssl rand -hex 32
 # Ordre de lecture : CONFSYNC_SECRET_KEY, puis CONFSYNC_SECRET_KEY_FILE, sinon DATA_DIR/secret.key
 # (créée au 1er démarrage). Le compose fournit déjà CONFSYNC_SECRET_KEY_FILE ; une valeur
-# CONFSYNC_SECRET_KEY ici serait prioritaire. Sans cette clé, les secrets enregistrés sont perdus.
+# CONFSYNC_SECRET_KEY ici serait prioritaire. Sans cette clé, les mots de passe enregistrés sont perdus.
 # CONFSYNC_SECRET_KEY=
 # CONFSYNC_SECRET_KEY_FILE=/run/secrets/confsync_key
 
-# Premier administrateur, créé seulement si la base n'a aucun utilisateur.
-# Sans mot de passe fourni, il est tiré au hasard et écrit une fois dans les logs.
+# Premier administrateur, créé au démarrage seulement si la base n'a aucun utilisateur
+# et qu'un mot de passe est fourni. Sinon, la page de connexion le fait créer : le premier
+# qui atteint l'instance devient administrateur.
 # CONFSYNC_ADMIN_USER=admin
 # CONFSYNC_ADMIN_PASSWORD=
 # CONFSYNC_ADMIN_PASSWORD_FILE=/run/secrets/confsync_admin
 
-# Import initial du YAML de la CLI si la base n'a aucun cluster
-# CONFSYNC_IMPORT=/config/confsync.yaml
-
 # Comptes locaux (false exige OIDC)
 # AUTH_LOCAL=true
 
@@ -47,8 +45,3 @@ TZ=Europe/Paris
 # OIDC_ADMIN_GROUP=confsync-admins
 # OIDC_OPERATOR_GROUP=confsync-operators
 # OIDC_DEFAULT_ROLE=viewer             # admin, operator ou viewer
-
-# ---------- CLI (pve-confsync check | export | diff | apply) ----------
-# CONFSYNC_CONFIG=/config/confsync.yaml
-# Secrets des tokens référencés par token_secret_env dans confsync.yaml (un par cluster) :
-# PVE_SITE_B_SECRET=