diff --git a/Team_Resources-Devices-Enrollment_Permissions.tf b/Team_Resources-Devices-Enrollment_Permissions.tf
index 4c659be..2983669 100644
--- a/Team_Resources-Devices-Enrollment_Permissions.tf
+++ b/Team_Resources-Devices-Enrollment_Permissions.tf
@@ -21,10 +21,12 @@
 resource "cloudflare_zero_trust_access_application" "warp_device_enrollment" {
   account_id = local.cloudflare_account_id
 
-  type                 = "warp"
-  name                 = "Warp device enrollment"
-  session_duration     = "24h"
-  app_launcher_visible = false
+  # NOTE : pas de app_launcher_visible ici — cet attribut n'est autorisé que
+  # pour les types self_hosted/ssh/vnc/rdp/saas/bookmark ; une app de type
+  # "warp" n'apparaît de toute façon jamais dans l'App Launcher.
+  type             = "warp"
+  name             = "Warp device enrollment"
+  session_duration = "24h"
 
   # Les deux briques IdP peuvent servir à l'enrôlement :
   # Authentik toujours, Azure Entra ID si la brique est activée.
diff --git a/Traffic_Policies-Firewall_Policies-DLP.tf b/Traffic_Policies-Firewall_Policies-DLP.tf
index 10073ee..2aaf6f3 100644
--- a/Traffic_Policies-Firewall_Policies-DLP.tf
+++ b/Traffic_Policies-Firewall_Policies-DLP.tf
@@ -27,6 +27,11 @@ resource "cloudflare_zero_trust_dlp_custom_profile" "iban_fr" {
 
   allowed_match_count = 0
 
+  # NOTE : l'attribut "entries" est marqué déprécié par le provider (warning
+  # au validate). La cible à terme est la ressource dédiée
+  # cloudflare_zero_trust_dlp_entry (une ressource par motif, liée via
+  # profile_id). On garde "entries" pour l'instant : l'API exige au moins un
+  # motif à la création du profil, et le warning est sans effet sur la CI.
   entries = [{
     name    = "IBAN FR"
     enabled = true