Fix : docker statrtup crash 2

DEPLOY.md

@@ -113,14 +113,23 @@ docker compose logs -f
 Contrôle : `curl http://localhost:8080/healthz` doit répondre
 `{"ok":true,"agents":0}`.
 
-La base SQLite vit dans `./data`, monté en volume — **c'est le seul état à
-sauvegarder**. Une copie à chaud se fait avec :
+La base SQLite vit dans `./data`, monté depuis l'hôte — **c'est le seul état à
+sauvegarder**.
+
+La base tourne en mode WAL : les écritures récentes vivent dans
+`stream-control.sqlite-wal` et pas encore dans le fichier principal. Copier le
+seul `.sqlite` pendant que le serveur tourne donne une sauvegarde tronquée. Le
+plus sûr est un arrêt de deux secondes :
 
 ```bash
-docker compose exec server sh -c 'sqlite3 /app/data/stream-control.sqlite ".backup /app/data/backup.sqlite"' \
-  2>/dev/null || cp data/stream-control.sqlite data/backup-$(date +%F).sqlite
+docker compose stop server
+tar czf ~/stream-control-$(date +%F).tar.gz data/
+docker compose start server
 ```
 
+À chaud, copie impérativement les trois fichiers ensemble (`.sqlite`,
+`-wal`, `-shm`) — jamais le premier seul.
+
 ---
 
 ## Étape 4 — Déployer un agent
@@ -231,6 +240,7 @@ La rotation des jetons se fait alors depuis le dashboard, agent par agent.
 | --- | --- |
 | `docker compose up` : *manifest unknown* | `docker login` non fait, ou build jamais lancé |
 | Le conteneur redémarre en boucle | `docker compose logs server` — le plus souvent `ADMIN_PASSWORD` ou `SESSION_SECRET` absent de `.env` |
+| `unable to open database file` (`ERR_SQLITE_ERROR`, errcode 14) | Le répertoire `./data` de l'hôte n'appartient pas à l'uid du conteneur. L'entrypoint le corrige automatiquement ; si tu as forcé un `user:` dans le compose, il ne peut plus le faire — aligne alors la propriété à la main : `sudo chown -R 1000:1000 data` |
 | Agent absent du dashboard | `--server` erroné, ou `ENROLLMENT_TOKEN` différent de celui du serveur. `journalctl -u stream-control-agent -f` |
 | Agent en ligne, OBS déconnecté | obs-websocket désactivé ou mot de passe erroné. Le diagnostic teste le port |
 | Rappel plein écran sans effet (Linux) | Session Wayland au lieu de X11, ou `DISPLAY` inaccessible au service. Le diagnostic signale les deux |