diff --git a/android-client/PLAN.md b/android-client/PLAN.md
index c1e84d5..3de5b39 100644
--- a/android-client/PLAN.md
+++ b/android-client/PLAN.md
@@ -40,9 +40,11 @@ actuelle est délibérée.
 
 ## 1. À vérifier sur téléphone — aucun code
 
+**Points 1, 2, 3 et 5 validés sur appareil** (voir plus bas). Ce qui suit est
+l'énoncé d'origine, gardé pour le point 4 — le seul qui reste.
+
 L'émulateur n'a ni empreinte ni écran de verrouillage, donc `PMA.Store` est
-retombé sur la clé sans contrainte à chaque essai. Ces trois points n'ont
-jamais été exercés :
+retombé sur la clé sans contrainte à chaque essai :
 
 1. **Création de la clé sous authentification** — `SaveVault(…, True)` doit
    écrire un en-tête à `2`, et le journal doit dire « protégé par
@@ -58,6 +60,13 @@ empreinte** invalide la clé définitivement
 (`KeyPermanentlyInvalidatedException`). Le cache doit alors être effacé et
 retéléchargé, pas rester illisible. C'est l'autre branche de la même garde.
 
+**Toujours pas exercé, et largement désamorcé depuis.** Le code de
+déverrouillage (§7) scelle le cache sous `VER_PIN`, une clé AES **sans
+contrainte** qu'aucun changement de verrouillage d'écran n'invalide : tant
+qu'un code est posé, la branche authentifiée ne s'exécute pas. C'est
+précisément pour cela que le code a été construit — un changement de schéma
+détruisait le cache. Le vérifier demanderait donc de retirer le code d'abord.
+
 ---
 
 ## 1 bis. ~~La décision qui bloque le cache~~ — RÉSOLU le 2026-08-15
@@ -1147,13 +1156,22 @@ la seule source.
 
 ---
 
-## Ordre proposé
+## Ce qui reste — au 2026-08-22
 
-1. **Vérifier §1 sur téléphone** — c'est ce qui valide le travail déjà fait, et
-   rien d'autre ne peut le remplacer.
-2. §2 item 4 (presse-papiers sensible) puis 6 (verrouillage sur inactivité).
-3. §3 item 1, une fois tranché où atterrissent les pièces jointes.
-4. §4 à partir de l'étape 2, si l'écriture vaut son coût.
+Les sections 1 à 7 sont faites et vérifiées sur appareil. Il reste :
+
+1. **La signature** (§5) — l'outillage est prêt, le magasin de clés et son mot
+   de passe appartiennent à l'utilisateur. Seul point qui bloque une
+   distribution.
+2. **§1 point 4** — l'invalidation de la clé par enrôlement d'une empreinte.
+   Jamais exercée, et largement désamorcée par le code de déverrouillage : tant
+   qu'un code est posé, cette branche ne s'exécute pas.
+3. **§3 point 6** — la liste virtuelle, le jour où la reconstruction à chaque
+   frappe se voit. Marquée `ponytail:` dans la page, pas avant.
+
+Et deux limites **assumées**, notées avec leur raison plutôt que portées comme
+des manques : pas d'édition hors ligne (§4), et le téléphone qui ne peut pas
+supprimer une pièce jointe (§3).
 
 ---