1 files changed, 15 insertions, 0 deletions
diff --git a/docs/TROUBLESHOOTING.md b/docs/TROUBLESHOOTING.md
index 58d72a2..e05cc03 100644
--- a/docs/TROUBLESHOOTING.md
+++ b/docs/TROUBLESHOOTING.md
@@ -50,6 +50,7 @@ Interpretation rapide:
 | Timeout | Service indisponible | Healthcheck et reseau | Redemarrer service / corriger reseau |
 | Token invalide | Mauvaise config OIDC | Verifier issuer/audience | Corriger configuration client |
 | 401 sur viewer-bff | Token absent/non transfere | Verifier header Authorization | Rejouer avec Bearer token valide |
+| `denied` pull image `media-access-api` | Image distante invalide/inaccessible | Verifier `MEDIA_ACCESS_API_IMAGE` et dossier `media-access-api/` | Utiliser build local compose et relancer avec `--build` |
 | Heure incoherente | NTP non synchronise | `timedatectl`, `chronyc tracking` | Configurer chrony vers `araucaria` |
 | Nom DNS local non resolu | Record dnsmasq absent/invalide | `dig +short <host>.arauco.online` | Corriger fichier dnsmasq puis restart service |
 | HTTPS KO via domaine | Caddy non charge / vhost invalide | `caddy validate`, `journalctl -u caddy` | Corriger Caddyfile puis reload Caddy |
@@ -138,3 +139,17 @@ Interpretation rapide:
 1. Corriger le bloc de vhost dans Caddyfile.
 2. Recharger: `sudo systemctl reload caddy`.
 3. Rejouer le test HTTPS.
+
+## Cas pratique: erreur `denied` sur `media-access-api`
+### Contexte
+- Symptome: `docker compose up` echoue avec `Head https://ghcr.io/... denied`.
+
+### Diagnostic
+1. Verifier la variable: `grep MEDIA_ACCESS_API_IMAGE .env.dev`.
+2. Verifier la presence du code local: `ls -la media-access-api`.
+3. Verifier compose: `media-access-api` doit avoir un bloc `build`.
+
+### Correction appliquee
+1. Garder/mettre `MEDIA_ACCESS_API_IMAGE=local/media-access-api:dev`.
+2. S'assurer que `media-access-api/` contient `Dockerfile` + code.
+3. Relancer: `docker compose --env-file .env.dev -f compose.photoprism-secure.dev.yml up -d --build`.