diff --git a/crowdsec/values.yaml b/crowdsec/values.yaml
index cbeb94c..65fe23c 100644
--- a/crowdsec/values.yaml
+++ b/crowdsec/values.yaml
@@ -100,6 +100,16 @@ crowdsec: &crowdsec_config
         valueFrom:
           fieldRef:
             fieldPath: metadata.labels['machine-name']
+      # ⚠ MESURE D'URGENCE (2026-10-08, ~06:40Z) : l'API centrale de CrowdSec
+      # (CAPI) REFUSE notre instance — « authenticate watcher (…) : API error:
+      # Forbidden », FATAL au démarrage — et le CDN du hub répond 403 lui aussi.
+      # Sans LAPI, le videur de Traefik refuse tout *.arcodange.fr. On démarre
+      # donc la LAPI SANS l'API centrale : les décisions locales (agent, appsec)
+      # tiennent, la liste de blocage communautaire ne descend plus. À rouvrir
+      # quand la cause du refus est connue (instance révoquée ? les 594 LAPI
+      # fantômes de #56 ? version 1.7.0 retirée ?) : retirer cette variable.
+      - name: DISABLE_ONLINE_API
+        value: "true"
       # ⚠ PAS d'ENROLL_KEY ici (retirée le 2026-10-08). Le script de démarrage
       # appelle `cscli console enroll` à CHAQUE démarrage quand la clé est posée,
       # et un refus de la console (api.crowdsec.net → 403 Forbidden) TUE le