README : corrige le mot de passe fleet et documente les commandes nix verifiees

Etape 6 annoncait a tort un changement de mot de passe force pour
"PC normal" -- usagers garde nixos stable sans expiration, seuls les
postes nominatifs (nixos_users) le forcent. Ajoute comment reactiver
ce mecanisme sur la fleet si besoin un jour.

Avant-derniere section : commandes nix desormais reellement testees
(WSL), plus --no-build/--dry-run pour rester rapides, avec le
perimetre exact de ce qu'elles verifient.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

README.md

@@ -126,13 +126,15 @@ Utilisateur : `usagers`
 
 Mot de passe : `nixos`
 
+Mot de passe stable, ne change jamais tout seul et n'est jamais redemandé (poste partagé, pas nominatif -- voir "Réactiver un changement de mot de passe forcé" en référence si ça doit changer un jour).
+
 PC pour une personne :
 
 Utilisateur : le prénom tapé à l'étape 4B
 
 Mot de passe : `nixos`
 
-Un nouveau mot de passe est demandé tout de suite. Le choisir maintenant.
+Un nouveau mot de passe est demandé tout de suite (changement forcé au premier login, seulement sur les postes nominatifs -- voir [Nixos_Users](../nixos_users)). Le choisir maintenant.
 
 ## Étape 7 — Vérifier
 
@@ -331,6 +333,25 @@ dconf dump /org/cinnamon/ > dconf.ini
 
 Remplacer `hosts/usagers/dconf.ini` par ce fichier, commit, push. Rien à changer dans le `.nix`.
 
+## Réactiver un changement de mot de passe forcé
+
+Par défaut, `usagers` garde `nixos` comme mot de passe stable, sans expiration (`hosts/usagers/configuration.nix`). Voulu : poste partagé, pas nominatif -- forcer un changement casserait le mot de passe commun affiché sur l'étiquette/le guide remis aux gens.
+
+`nixos_users` force ce changement au premier login pour les postes nominatifs, via un script d'activation one-shot (`hosts/common/accounts.nix` de ce repo-là) :
+
+```nix
+system.activationScripts.forcePasswordChangeOnce.text = ''
+  marker=/var/lib/nixos-force-pwchange-done
+  if [ ! -e "$marker" ]; then
+    ${pkgs.shadow}/bin/chage -d 0 usagers
+    mkdir -p /var/lib
+    touch "$marker"
+  fi
+'';
+```
+
+Pour réactiver la même chose sur `usagers`, reprendre ce bloc tel quel dans `hosts/usagers/configuration.nix` (ou `hosts/common/default.nix` si ça doit s'appliquer à un futur deuxième profil de flotte). Le marqueur est nécessaire : sans lui, `chage -d 0` s'appliquerait à nouveau à chaque `nixos-rebuild switch`, redemandant un mot de passe à chaque redémarrage.
+
 ## Pourquoi deux repos
 
 Une machine de la flotte pull uniquement ce repo.
@@ -388,11 +409,16 @@ Test sur 1-2 PC réels d'abord.
 PC à seulement 4 Go de RAM : le zram (`installer-base.nix`) doit suffire pour installer `usagers` (Cinnamon + Firefox + LibreOffice + VLC), mais pas testé en dessous de 12 Go pour l'instant. Si ça échoue encore sur du 4 Go réel : alléger la liste de paquets de `usagers` plutôt que d'insister sur le zram seul.
 
 ```bash
-nix flake check
-nix build .#nixosConfigurations.usagers.config.system.build.toplevel
-nix build .#nixosConfigurations.installer-iso
+nix flake check --no-build          # évalue usagers/installer-netboot/installer-iso
+nix flake check --no-build --impure # inclut pxe-server (lit /etc/nixos, réel sur le serveur seulement)
+nix build .#nixosConfigurations.usagers.config.system.build.toplevel --dry-run
+nix build .#nixosConfigurations.installer-iso.config.system.build.isoImage --dry-run
 ```
 
+Vérifié (WSL, testé le 2026-09-12) : `usagers` s'évalue et résout entièrement sa fermeture de paquets sans erreur. `pxe-server` échoue sans `--impure` en dehors du vrai serveur PXE (attendu, lit `/etc/nixos/hardware-configuration.nix`).
+
+**Ce que ces commandes ne couvrent pas** : elles vérifient que la config s'évalue et que les paquets existent, pas que le poste installé fonctionne réellement (Wi-Fi, wallpaper, LightDM, avatar...). Seul un test sur machine réelle (étape 8 plus haut) le confirme.
+
 ## Connexion Wi-Fi
 
 Pour un PC sans câble réseau (après l'installation, ou en dépannage).