diff --git a/mainApk.pas b/mainApk.pas
index 65a31eb..5380bdd 100644
--- a/mainApk.pas
+++ b/mainApk.pas
@@ -1041,7 +1041,14 @@ begin
   // et l'affiche, ce qui revient exactement au meme resultat sans passer par
   // l'authentification. La condition est la presence d'un cache protege sur
   // cet appareil - c'est lui qui exprime le choix de l'utilisateur.
-  if VaultNeedsAuth and (FVault.Count = 0) then
+  //
+  // MAIS SEULEMENT S'IL Y A UNE PORTE. Exiger une authentification que
+  // l'appareil ne sait plus rendre enfermait l'utilisateur dehors : le cache
+  // marque protege refusait de s'ouvrir, et le telechargement qui l'aurait
+  // remplace etait bloque par la meme condition. Quand plus rien ne peut
+  // authentifier, ce verrou ne protege personne - le contenu viendra du
+  // serveur, et c'est le mot de passe de sync qui le garde.
+  if VaultNeedsAuth and (FVault.Count = 0) and BiometricAvailable then
   begin
     Status('Authenticating...');
     AuthenticateThen('Unlock the vault',