diff --git a/.gitea/workflows/iac.yaml b/.gitea/workflows/iac.yaml
index 7fbc0e4..e5a3b76 100644
--- a/.gitea/workflows/iac.yaml
+++ b/.gitea/workflows/iac.yaml
@@ -46,6 +46,14 @@ jobs:
     outputs:
       gitea_vault_jwt: ${{steps.gitea_vault_jwt.outputs.id_token}}
     steps:
+      # Le runner du Mac (laptop) ne résout pas les noms *.arcodange.lab dans ses conteneurs de
+      # job (curl sort en 6 sur webapp.arcodange.lab, run 10015) ; les runners des pi le font par
+      # --add-host. On pose la même résolution figée vers l'ingress du lab, seulement si elle manque.
+      - name: résoudre les noms du lab
+        run: |
+          for h in webapp.arcodange.lab vault.arcodange.lab gitea.arcodange.lab; do
+            getent hosts "$h" >/dev/null || echo "192.168.1.201 $h" >> /etc/hosts
+          done
 
       - name: Auth with gitea for vault
         id: gitea_vault_jwt
@@ -62,6 +70,14 @@ jobs:
       TERRAFORM_VAULT_AUTH_JWT: ${{ needs.gitea_vault_auth.outputs.gitea_vault_jwt }}
       VAULT_CACERT: "${{ github.workspace }}/homelab.pem"
     steps:
+      # Le runner du Mac (laptop) ne résout pas les noms *.arcodange.lab dans ses conteneurs de
+      # job (curl sort en 6 sur webapp.arcodange.lab, run 10015) ; les runners des pi le font par
+      # --add-host. On pose la même résolution figée vers l'ingress du lab, seulement si elle manque.
+      - name: résoudre les noms du lab
+        run: |
+          for h in webapp.arcodange.lab vault.arcodange.lab gitea.arcodange.lab; do
+            getent hosts "$h" >/dev/null || echo "192.168.1.201 $h" >> /etc/hosts
+          done
       - *vault_step
       - uses: actions/checkout@v4
       - name: prepare vault self signed cert