diff --git a/common/wg-easy-decommission-tailscale.md b/common/wg-easy-decommission-tailscale.md
new file mode 100644
index 0000000..00fdcaa
--- /dev/null
+++ b/common/wg-easy-decommission-tailscale.md
@@ -0,0 +1,22 @@
+# Décommission wg-easy (remplacé par Tailscale) — 08/07/2026
+
+## Contexte
+Tailscale installé sur NAS, VPS Contabo, Mac, iPhone, iPad. wg-easy (VPN d'accès distant admin/perso au NAS, container Docker, network_mode host, port UDP 51820) devenait redondant : seul Nabil l'utilisait, uniquement pour l'accès distant à ses propres appareils — usage désormais couvert par Tailscale.
+
+## Ne pas confondre avec les autres WireGuard de la stack
+- **wg-admin** (bastion VPS Contabo ↔ NAS, canal admin pur) : déjà remplacé par Tailscale lors de la clôture du projet Contabo/Ahmed (06/07/2026). Rien à faire, acquis.
+- **wg0 KeepSolid** (VPS Contabo, tunnel vers fournisseur VPN commercial pour qBittorrent + kill-switch) : **à ne jamais toucher**. Ce n'est pas un VPN d'accès distant type Tailscale, c'est un tunnel d'anonymisation du trafic torrent vers un fournisseur tiers. Tailscale (réseau maillé entre appareils personnels) ne remplace pas cette fonction.
+- **wg-easy** (NAS, ce runbook) : décommissionné.
+
+## Action effectuée
+1. Vérifié usage exclusif par Nabil (aucun tiers, aucun service dépendant) avant suppression.
+2. `docker compose down` depuis `/volume1/docker/wg-easy` (SSH Best0f, port 22222) → container stoppé et supprimé proprement.
+3. Dossier renommé en archive plutôt que supprimé : `/volume1/docker/wg-easy` → `/volume1/docker/wg-easy.archived-20260708` (conserve wg0.conf/wg0.json et la config peers au cas où un rollback serait nécessaire).
+4. Vérifié port UDP 51820 libéré (plus de listener).
+5. Stack containers Docker actifs : 43 → 42.
+
+## Piège à connaître si réactivation future
+Image épinglée en v13 (pas latest/v14+) car v13 conserve le format wg0.json compatible avec les peers migrés depuis l'ancienne VM. v14+ change de format et bascule sur PASSWORD_HASH au lieu de PASSWORD — une réactivation depuis l'archive doit repartir sur l'image v13 telle quelle, pas sur latest.
+
+## Rollback si besoin
+mv /volume1/docker/wg-easy.archived-20260708 /volume1/docker/wg-easy && cd /volume1/docker/wg-easy && docker compose up -d (compte Best0f, /usr/local/bin/docker, pas de CLI docker dans mcp-nas).