diff --git a/deploy/chart-gestion/traefik/templates/middleware-chain.yaml b/deploy/chart-gestion/traefik/templates/middleware-chain.yaml
index 7226e7d..b5ec08e 100644
--- a/deploy/chart-gestion/traefik/templates/middleware-chain.yaml
+++ b/deploy/chart-gestion/traefik/templates/middleware-chain.yaml
@@ -9,5 +9,8 @@ spec:
   chain:
     middlewares:
       - name: rate-limit
-      - name: coraza-waf
+      # coraza-waf retiré temporairement : le plugin WASM échoue à charger
+      # (module/version pas fiablement confirmés), ce qui invalidait TOUTE
+      # la chaîne et cassait le routage de toutes les démos. À réactiver une
+      # fois la config du plugin vérifiée (voir middleware-waf.yaml).
       - name: security-headers
diff --git a/deploy/chart-gestion/traefik/values.yaml b/deploy/chart-gestion/traefik/values.yaml
index 725e153..88f1cc2 100644
--- a/deploy/chart-gestion/traefik/values.yaml
+++ b/deploy/chart-gestion/traefik/values.yaml
@@ -56,13 +56,20 @@ traefik:
   accessLog:
     enabled: true
 
-  # Plugin Coraza WAF — Traefik télécharge le plugin au démarrage
-  # (le cluster doit avoir accès à internet ou utiliser un plugin local)
-  experimental:
-    plugins:
-      coraza-traefik:
-        moduleName: "github.com/corazawaf/coraza-traefik"
-        version: "v0.3.0"
+  # Plugin Coraza WAF — DÉSACTIVÉ temporairement : "github.com/corazawaf/
+  # coraza-traefik@v0.3.0" n'existe pas sur le catalogue de plugins Traefik
+  # (404 au démarrage), ce qui invalidait toute la chaîne de middlewares et
+  # cassait le routage de TOUTES les démos. Le bon plugin est probablement
+  # github.com/jcchavezs/coraza-http-wasm-traefik (WASM), mais le nom de
+  # module exact + la version doivent être repris tels quels depuis
+  # https://plugins.traefik.io (bouton "Install this plugin" génère le
+  # snippet exact et garanti à jour) avant de les remettre ici — deux
+  # tentatives de deviner la bonne valeur ont déjà cassé la prod.
+  # experimental:
+  #   plugins:
+  #     coraza-traefik:
+  #       moduleName: ""
+  #       version: ""
 
   # ACME interne désactivé : c'est cert-manager qui gère le cycle de vie du
   # certificat wildcard (voir deploy/cert-manager/), Traefik ne fait que le