diff --git a/apps/ops/src/App.vue b/apps/ops/src/App.vue
index 18b088e..e22c2a3 100644
--- a/apps/ops/src/App.vue
+++ b/apps/ops/src/App.vue
@@ -7,16 +7,17 @@
     <div class="ops-access-card">
       <q-icon name="person_off" size="44px" color="negative" />
       <div class="text-h6 q-mt-sm">Accès OPS indisponible</div>
-      <div class="text-body2 text-grey-7 q-mt-sm" style="max-width:380px;line-height:1.5">
+      <div class="text-body2 text-grey-7 q-mt-sm" style="max-width:400px;line-height:1.5">
         <template v-if="authIdentity">
-          OPS a reçu le compte <b>{{ authIdentity }}</b>, mais il n'a <b>pas de permissions OPS</b>.
-          Es-tu connecté avec ton <b>compte principal</b> ? (Un seul compte par personne a les accès OPS —
-          évite les comptes en double.)
+          OPS n'a pas pu charger les permissions de <b>{{ authIdentity }}</b> (le compte y a pourtant droit).
+          <div class="q-mt-sm">Souvent une <b>extension</b> (bloqueur de pub/vie privée) ou un proxy qui bloque la requête
+          <code>/auth/permissions</code> : essaie une <b>fenêtre privée</b> ou un <b>autre navigateur</b>.</div>
         </template>
         <template v-else>
           Authentik n'a pas transmis ton identité (session incomplète). Reconnecte-toi via
           <b>erp.gigafibre.ca/ops</b>.
         </template>
+        <div v-if="permsError" class="text-caption text-negative q-mt-sm" style="font-family:monospace">Détail : {{ permsError }}</div>
       </div>
       <div class="row q-gutter-sm q-mt-md justify-center">
         <q-btn outline no-caps color="grey-8" icon="logout" label="Changer de compte" @click="auth.doLogout()" />
@@ -35,7 +36,7 @@ import { startSessionKeepAlive } from 'src/composables/useSessionKeepAlive'
 
 loadSavedTheme() // applique le thème enregistré (couleurs --ops-*) dès le démarrage
 const auth = useAuthStore()
-const { isLoaded, loading: permsLoading } = usePermissions()
+const { isLoaded, loading: permsLoading, error: permsError } = usePermissions()
 const isLocal = window.location.hostname === 'localhost' || window.location.hostname === '127.0.0.1'
 
 // PROD uniquement : une fois le contrôle de session ET le chargement des permissions terminés, si aucune