docs(readme): section « Accès & authentification » illustrée (Authentik/Guacamole)

Ajoute la section au README principal (absente jusqu'ici) : schéma du
flux SSO, URLs LAN/Internet, user console, VPN dormant, + 3 captures du
parcours utilisateur (login → hub → machines). Rôles Ansible, vault et
roadmap complétés. .playwright-mcp ignoré.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

README.md

@@ -153,6 +153,15 @@ Utilisateur ──▶ Authentik (hub + login unique) ──SSO──▶ Guacamol
 - **Alternative VPN** : un serveur **WireGuard** est prêt sur s01 (profils admin/invité,
   filtrage nftables par pair) mais **dormant** — aucune redirection Freebox active.
 
+### En images
+
+Le parcours utilisateur, du login à la console :
+
+| 1 · Connexion (Authentik) | 2 · Hub « My applications » | 3 · Choix de la machine (Guacamole) |
+|---|---|---|
+| ![Login Authentik](docs/img/portail/01-login.jpg) | ![Hub applications](docs/img/portail/02-hub.png) | ![Liste des machines](docs/img/portail/03-machines.png) |
+| Login unique. | Une tuile par app autorisée → clic = SSO. | Clic sur une machine → terminal SSH dans le navigateur. |
+
 📖 [Architecture & pièges](admin/k8s/auth-portal.md) ·
 🛠️ [Administration (utilisateurs, apps du hub)](admin/k8s/auth-portal-admin.md) ·
 👤 [Guide utilisateur à distribuer](docs/portail-guide-utilisateur.md) ·