diff --git a/DECISIONS.md b/DECISIONS.md
index 3f0716b..ee7b064 100644
--- a/DECISIONS.md
+++ b/DECISIONS.md
@@ -2,6 +2,34 @@
 
 Format : une entrée par décision structurante, la plus récente en haut.
 
+## 2026-07-09 — Exposition bus.saillant.cc
+
+**Décision** : chaîne d'exposition publique du blog calquée sur le
+pattern `git.saillant.cc` — tunnel Cloudflare nommé (cloudflared
+systemd sur electron-server, ingress géré via l'API CF) → **Traefik**
+sur electron-server (file provider, route ajoutée dans
+`/home/electron/factory-4-life/traefik/dynamic/bus-blog.yml`, insérée
+avant la règle catch-all) → nginx dockerisé sur **Tower**
+`100.78.6.122:8090`. DNS : CNAME `bus.saillant.cc` proxied (orange
+cloud CF). Image nginx pinnée par digest :
+`nginx@sha256:65645c7bb6a0661892a8b03b89d0743208a18dd2f3f17a54ef4b76fb8e2f2a10`
+(tag `1.27-alpine`), conteneur `bus-blog`, `--restart unless-stopped`,
+sert `/home/clems/bus-blog/public` en lecture seule. Publication
+automatisée par `blog/deploy.sh` (`hugo --minify` + `rsync -az
+--delete` vers `clems@192.168.0.120:/home/clems/bus-blog/public/` +
+smoke test HTTPS).
+**Pourquoi** : réutilise l'infra `*.saillant.cc` existante et son
+pattern déjà validé (Traefik + cloudflared) plutôt que d'ouvrir un
+nouveau chemin d'exposition ; digest pinné = conformité avec la
+politique supply-chain (pas de tag flottant) ; Tower déjà allumé en
+continu, cohérent avec la décision « Blog de chantier Hugo » du
+2026-07-09 ci-dessous.
+**Conséquences** : le nginx smoke-test initial (`<h1>bus-blog ok</h1>`)
+est remplacé par le vrai site dès le premier `deploy.sh` ; toute mise à
+jour du contenu passe désormais par `blog/deploy.sh` (pas de push
+manuel vers Tower) ; bump de l'image nginx soumis à revue humaine
+(nouveau digest) avant déploiement.
+
 ## 2026-07-09 — Architecture énergie : Victron 48 V + 4× Pylontech + solaire 2 étages
 
 **Décision** (orientation matériel — dimensionnement et références