diff --git a/README.md b/README.md
index 2ea66ac..4d2621f 100644
--- a/README.md
+++ b/README.md
@@ -153,6 +153,15 @@ Utilisateur ──▶ Authentik (hub + login unique) ──SSO──▶ Guacamol
 - **Alternative VPN** : un serveur **WireGuard** est prêt sur s01 (profils admin/invité,
   filtrage nftables par pair) mais **dormant** — aucune redirection Freebox active.
 
+### En images
+
+Le parcours utilisateur, du login à la console :
+
+| 1 · Connexion (Authentik) | 2 · Hub « My applications » | 3 · Choix de la machine (Guacamole) |
+|---|---|---|
+| ![Login Authentik](docs/img/portail/01-login.jpg) | ![Hub applications](docs/img/portail/02-hub.png) | ![Liste des machines](docs/img/portail/03-machines.png) |
+| Login unique. | Une tuile par app autorisée → clic = SSO. | Clic sur une machine → terminal SSH dans le navigateur. |
+
 📖 [Architecture & pièges](admin/k8s/auth-portal.md) ·
 🛠️ [Administration (utilisateurs, apps du hub)](admin/k8s/auth-portal-admin.md) ·
 👤 [Guide utilisateur à distribuer](docs/portail-guide-utilisateur.md) ·
diff --git a/docs/img/portail/01-login.jpg b/docs/img/portail/01-login.jpg
new file mode 100644
index 0000000..2fd8710
Binary files /dev/null and b/docs/img/portail/01-login.jpg differ
diff --git a/docs/img/portail/02-hub.png b/docs/img/portail/02-hub.png
new file mode 100644
index 0000000..36d5582
Binary files /dev/null and b/docs/img/portail/02-hub.png differ
diff --git a/docs/img/portail/03-machines.png b/docs/img/portail/03-machines.png
new file mode 100644
index 0000000..8f49af4
Binary files /dev/null and b/docs/img/portail/03-machines.png differ