diff --git a/CLAUDE.md b/CLAUDE.md
index 8ee3c26..7daa5be 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -116,6 +116,7 @@ Endpoints utiles :
   - Contenu : dumps SQL de toutes les bases (`/var/backups/sans-pub-db/`, détection auto MySQL/MariaDB/PostgreSQL), volumes Docker (hors registres, previews et logs Nextcloud), `/captain/data` (hors registry), `/home/cloud/apps_data`, `/root/backup`, `/etc`. Les fichiers bruts d'une base sont exclus **seulement si son dump a réussi** (sinon sauvegardés en repli)
   - Particularités des bases : `limesurvey-mariadb-db` n'accepte root qu'en TCP (`-h127.0.0.1`, le mot de passe de `root@localhost` est différent) ; `writefreely-db` a une table `mysql.proc` incompatible (dump sans `--routines`). Le script essaie automatiquement ces variantes
   - Premier snapshot complet : 2026-10-03 (~53 Gio, ~45 Gio stockés) ; restauration testée (`restic dump` + comparaison SHA256)
+  - ⚠️ Les scripts lancés par `/etc/cron.d/` n'ont que `PATH=/usr/bin:/bin` : d'où le `export PATH=...` en tête des scripts (restic dans `/usr/local/bin` → backups du 4 et 5 octobre 2026 en échec). Tester un script cron avec `systemd-run -E PATH=/usr/bin:/bin <script>`
   - Rétention : 7 quotidiens, 4 hebdos, 6 mensuels ; `prune` + `check` (5 % des données) le dimanche
   - Log : `/var/log/restic-backup.log` ; mail à `pierre@sans.pub` en cas d'échec (via SMTP de poste.io `mail.sans.pub:465`, donc **pas d'alerte si le serveur entier tombe**)
   - Consulter : `ssh sans.pub 'sudo bash -c ". /root/restic/env && restic snapshots"'`
diff --git a/backup/restic-backup.sh b/backup/restic-backup.sh
index b8bf787..a50047a 100644
--- a/backup/restic-backup.sh
+++ b/backup/restic-backup.sh
@@ -1,6 +1,8 @@
 #!/bin/bash
 # Backup quotidien sans.pub : dumps des bases + restic vers OVH Swift (conteneur sans-pub-restic)
 # Installé dans /root/restic/backup.sh, lancé par /etc/cron.d/restic-backup
+# cron ne fournit que /usr/bin:/bin ; restic est dans /usr/local/bin
+export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
 set -uo pipefail
 
 LOG=/var/log/restic-backup.log
diff --git a/mail/mail-cert-sync.sh b/mail/mail-cert-sync.sh
index cdd66f1..37e2e1e 100644
--- a/mail/mail-cert-sync.sh
+++ b/mail/mail-cert-sync.sh
@@ -2,6 +2,8 @@
 # Synchronise le certificat Let's Encrypt de mail.sans.pub (renouvelé par CapRover)
 # vers poste.io, qui ne sait pas le renouveler lui-même derrière le nginx de CapRover.
 # Installé dans /root/mail-cert-sync.sh, lancé chaque jour par /etc/cron.d/mail-cert-sync
+# cron ne fournit que /usr/bin:/bin
+export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
 set -euo pipefail
 
 LIVE=/captain/data/letencrypt/etc/live/mail.sans.pub