@@ -23,6 +23,10 @@ interface UserAccountFormProps {
     canLogin: boolean;
     birthDate: string | null;
   };
+  // Remplacer une adresse réelle donne l'accès au compte (« mot de passe
+  // oublié ») : canChangeAccountEmail. Sinon le champ est affiché en lecture
+  // seule.
+  canEditEmail: boolean;
 }
 
 // US-CM-01 (évolution) — édition complète d'un compte par l'admin/secrétaire.
@@ -32,7 +36,7 @@ interface UserAccountFormProps {
 // Reste sur la page après l'enregistrement (point central de gestion du
 // compte, cf. section "Gestion du compte" plus bas) plutôt que de renvoyer
 // vers la liste.
-export function UserAccountForm({ user }: UserAccountFormProps) {
+export function UserAccountForm({ user, canEditEmail }: UserAccountFormProps) {
   const router = useRouter();
   const [state, formAction, pending] = useActionState(
     updateUserAccount,
@@ -81,7 +85,7 @@ export function UserAccountForm({ user }: UserAccountFormProps) {
           Ce compte n&apos;a pas de connexion propre (compte enfant, cf.
           US-CM-01).{" "}
           {canEnableLogin(user.birthDate)
-            ? "Renseigner une vraie adresse email ici rendra ce compte connectable."
+            ? "Renseigner une vraie adresse email ici rendra ce compte connectable. Les parents rattachés en seront prévenus."
             : "Ce jeune a moins de 15 ans : son compte reste géré par un parent, il ne peut pas devenir connectable."}
         </p>
       ) : null}
@@ -94,7 +98,15 @@ export function UserAccountForm({ user }: UserAccountFormProps) {
           type="email"
           defaultValue={user.email}
           required
+          readOnly={!canEditEmail}
+          aria-describedby={canEditEmail ? undefined : "email-hint"}
         />
+        {canEditEmail ? null : (
+          <p id="email-hint" className="text-xs text-trail">
+            Seul l&apos;administrateur peut modifier une adresse email déjà
+            attribuée.
+          </p>
+        )}
       </div>
 
       <div className="space-y-1.5">
 
@@ -3,7 +3,7 @@ import Link from "next/link";
 import { notFound } from "next/navigation";
 
 import { db } from "@/lib/db";
-import { can, canAssignRole } from "@/lib/permissions";
+import { can, canAssignRole, canChangeAccountEmail } from "@/lib/permissions";
 import { requireCan } from "@/lib/require-can";
 import {
   BirthDateEditor,
@@ -108,6 +108,7 @@ export default async function EditUserAccountPage({ params }: PageProps) {
           canLogin: target.canLogin,
           birthDate: toDateInput(target.birthDate),
         }}
+        canEditEmail={canChangeAccountEmail(currentUser, target)}
       />
 
       <section className="space-y-4 rounded-2xl bg-snow p-5 shadow-card">
 
@@ -84,6 +84,25 @@ describe("redactAuditMetadata", () => {
     }
   });
 
+  it("retire les adresses email d'un changement d'email (USER_ACCOUNT_UPDATED)", () => {
+    const out = redactAuditMetadata(
+      JSON.stringify({
+        targetUserId: USER_ID,
+        fields: ["firstName", "lastName", "email", "phone"],
+        canLoginEnabled: true,
+        previousEmail: "ancienne@example.invalid",
+        newEmail: "nouvelle@example.invalid",
+      }),
+      USER_ID,
+    );
+    expect(JSON.parse(out!)).toEqual({
+      targetUserId: USER_ID,
+      fields: ["firstName", "lastName", "email", "phone"],
+      canLoginEnabled: true,
+      redacted: true,
+    });
+  });
+
   it("conserve la trace de la purge automatique", () => {
     const raw = JSON.stringify({
       targetUserId: USER_ID,
 
@@ -309,7 +309,7 @@ export const NOTIFICATION_TYPES = [
   "REPORT_CREATED", // SAFE-02 — signalement créé (→ les modérateurs concernés : ADMIN + CHEF de l'unité)
   "REPORT_UPDATE", // SAFE-02 — signalement traité (résolu ou rejeté) → le signalant
   "ACCOUNT_UPDATE", // inscription validée ou refusée → le demandeur
-  "SECURITY_ALERT", // #147 connexion / #153 changement de mot de passe bloqués après plusieurs mots de passe erronés → le titulaire
+  "SECURITY_ALERT", // #147 connexion / #153 changement de mot de passe bloqués après plusieurs mots de passe erronés → le titulaire ; adresse de connexion ajoutée à un compte enfant → ses parents
 ] as const;
 export type NotificationType = (typeof NOTIFICATION_TYPES)[number];
 
 
@@ -13,6 +13,8 @@ import {
   canAccessAdminZone,
   canActOnUnit,
   canAssignRole,
+  canChangeAccountEmail,
+  canSetEmailTo,
   canManagePlace,
   canReadPedagoNotes,
   canReviewExpense,
@@ -569,6 +571,7 @@ describe("RESPONSABLE_GROUPE — écriture sur tout le groupe (#173)", () => {
     "pedago.manage",
     "pedago.referential",
     "user.password.set",
+    "user.email.set",
     "user.delete",
     "message.edit_any",
   ];
@@ -727,8 +730,14 @@ describe("can — channel.moderate", () => {
 
 // #173 — définir le mot de passe d'un compte et supprimer un compte : ADMIN seul
 // (décision du 2026-09-24). La SECRÉTAIRE et le RG gardent le reste de user.manage.
-describe("can — user.password.set / user.delete (ADMIN seul)", () => {
-  it.each([["user.password.set"], ["user.delete"]] as const)("%s : ADMIN seul", (action) => {
+// Changer l'email d'un compte revient à pouvoir s'y connecter (« mot de passe
+// oublié » vers la nouvelle adresse) : même règle que user.password.set.
+describe("can — user.password.set / user.email.set / user.delete (ADMIN seul)", () => {
+  it("user.email.set est une action déclarée de la matrice", () => {
+    expect(ACTIONS).toContain("user.email.set");
+  });
+
+  it.each([["user.password.set"], ["user.email.set"], ["user.delete"]] as const)("%s : ADMIN seul", (action) => {
     expect(can({ role: "ADMIN", roles: ["ADMIN"], status: "ACTIVE" }, action)).toBe(true);
     for (const role of ["RESPONSABLE_GROUPE", "SECRETAIRE", "CHEF", "TRESORIER"]) {
       expect(can({ role, roles: [role], status: "ACTIVE" }, action)).toBe(false);
@@ -755,3 +764,69 @@ describe("can — message.edit_any (ADMIN seul)", () => {
     }
   });
 });
+
+// Changer l'email d'un compte qui se connecte, c'est pouvoir s'y connecter à sa
+// place (« mot de passe oublié ») : ADMIN seul. Un compte sans connexion
+// (compte enfant) peut recevoir sa première adresse de qui gère les comptes.
+describe("canChangeAccountEmail", () => {
+  const u = (role: string) => ({ id: `${role}-1`, role, roles: [role], status: "ACTIVE" });
+  const connectable = { canLogin: true, email: "adulte@example.fr", status: "ACTIVE" };
+  const childAccount = { canLogin: false, email: "enfant-abc@piloti.invalid", status: "ACTIVE" };
+
+  it("ADMIN : tout compte", () => {
+    expect(canChangeAccountEmail(u("ADMIN"), connectable)).toBe(true);
+    expect(canChangeAccountEmail(u("ADMIN"), childAccount)).toBe(true);
+  });
+
+  it.each(["RESPONSABLE_GROUPE", "SECRETAIRE"])("%s : compte sans connexion seulement", (role) => {
+    expect(canChangeAccountEmail(u(role), childAccount)).toBe(true);
+    expect(canChangeAccountEmail(u(role), connectable)).toBe(false);
+  });
+
+  it.each(["CHEF", "TRESORIER", "PARENT"])("%s : jamais", (role) => {
+    expect(canChangeAccountEmail(u(role), childAccount)).toBe(false);
+    expect(canChangeAccountEmail(u(role), connectable)).toBe(false);
+  });
+
+  // Revue : retirer les rôles d'un adulte puis lui donner une date de moins de
+  // 15 ans le passe en canLogin=false sans toucher à son adresse réelle. Seule
+  // l'adresse provisoire d'un compte enfant peut être remplacée.
+  it.each(["RESPONSABLE_GROUPE", "SECRETAIRE"])(
+    "%s : refusé sur un compte sans connexion qui a déjà une adresse réelle",
+    (role) => {
+      expect(
+        canChangeAccountEmail(u(role), { canLogin: false, email: "adulte@example.fr", status: "ACTIVE" }),
+      ).toBe(false);
+    },
+  );
+
+  // Revue : un compte anonymisé garde canLogin=false et une adresse provisoire.
+  // Lui en donner une réelle réintroduirait de la PII dans une fiche effacée.
+  it.each(["RESPONSABLE_GROUPE", "SECRETAIRE"])("%s : refusé sur un compte supprimé", (role) => {
+    const deleted = { canLogin: false, email: "deleted+abc@piloti.invalid", status: "DELETED" };
+    expect(canChangeAccountEmail(u(role), deleted)).toBe(false);
+    expect(canChangeAccountEmail(u("ADMIN"), deleted)).toBe(true);
+  });
+
+  it("un compte suspendu ne change rien", () => {
+    const suspended = { id: "sec-1", role: "SECRETAIRE", roles: ["SECRETAIRE"], status: "SUSPENDED" };
+    expect(canChangeAccountEmail(suspended, childAccount)).toBe(false);
+  });
+});
+
+// Revue : poser à la main une adresse provisoire (ex. `deleted+<id>@piloti.invalid`
+// d'un autre compte) bloquerait l'anonymisation de ce compte (unicité). Aucun
+// usage légitime hors ADMIN.
+describe("canSetEmailTo", () => {
+  const u = (role: string) => ({ id: `${role}-1`, role, roles: [role], status: "ACTIVE" });
+
+  it.each(["RESPONSABLE_GROUPE", "SECRETAIRE"])("%s : adresse réelle oui, provisoire non", (role) => {
+    expect(canSetEmailTo(u(role), "jeune@example.fr")).toBe(true);
+    expect(canSetEmailTo(u(role), "deleted+abc@piloti.invalid")).toBe(false);
+    expect(canSetEmailTo(u(role), "enfant-xyz@piloti.invalid")).toBe(false);
+  });
+
+  it("ADMIN : toute adresse", () => {
+    expect(canSetEmailTo(u("ADMIN"), "enfant-xyz@piloti.invalid")).toBe(true);
+  });
+});
@@ -53,6 +53,7 @@ export const ACTIONS = [
   "user.approve", // valider/refuser les inscriptions (+ attribuer les rôles)
   "user.manage", // gérer les comptes existants : rôles (page /admin/utilisateurs)
   "user.password.set", // définir le mot de passe d'un compte (ADMIN seul, #173)
+  "user.email.set", // modifier une adresse email déjà attribuée (ADMIN seul)
   "user.delete", // supprimer (anonymiser) un compte (ADMIN seul, #173)
   "member.view",
   "member.family.manage", // rattachement parent ↔ jeune (CHEF, RG, SEC)
@@ -167,6 +168,11 @@ const PERMISSIONS: Record<Action, Role[]> = {
   // #173 — se connecter à la place de quelqu'un ou effacer un compte sont
   // réservés à l'ADMIN, secrétaire et RG compris (décision du 2026-09-24).
   "user.password.set": [],
+  // Changer l'email d'un compte qui se connecte donne l'accès au compte :
+  // « mot de passe oublié » envoie le lien à la nouvelle adresse. Même règle
+  // que user.password.set, sinon celle-ci se contourne. Les comptes sans
+  // connexion suivent canChangeAccountEmail.
+  "user.email.set": [],
   "user.delete": [],
   "member.view": [CHEF, RG, SEC, TRES],
   // Rattachement familial parent ↔ jeune. Permission DÉDIÉE, volontairement
@@ -370,6 +376,43 @@ export function canReadPedagoNotes(user: AuthCtx, jeuneUnit: string | null): boo
   return canActOnUnit(user, "pedago.manage", jeuneUnit);
 }
 
+// Adresse provisoire d'un compte enfant, qui n'a pas d'email réel
+// (createChildAccount). Domaine réservé (RFC 2606) : jamais délivrable.
+export const PLACEHOLDER_EMAIL_SUFFIX = "@piloti.invalid";
+
+/**
+ * Modifier l'email d'un compte. Sur un compte qui a une adresse réelle, c'est
+ * pouvoir s'y connecter à sa place (« mot de passe oublié ») : ADMIN seul
+ * (`user.email.set`). Un compte enfant sans connexion peut recevoir sa
+ * PREMIÈRE adresse de qui gère les comptes (`user.manage`) ; l'appelant
+ * prévient alors les parents rattachés. Exiger l'adresse provisoire, et pas
+ * seulement canLogin=false : retirer ses rôles à un adulte puis lui donner une
+ * date de moins de 15 ans le passe en canLogin=false sans changer son adresse.
+ * Un compte supprimé (anonymisé) est exclu : il a lui aussi une adresse
+ * provisoire, et y remettre une adresse réelle réintroduirait de la PII.
+ */
+export function canChangeAccountEmail(
+  user: AuthCtx,
+  target: { canLogin: boolean; email: string; status: string },
+): boolean {
+  if (can(user, "user.email.set")) return true;
+  return (
+    target.canLogin === false &&
+    target.status !== "DELETED" &&
+    target.email.endsWith(PLACEHOLDER_EMAIL_SUFFIX) &&
+    can(user, "user.manage")
+  );
+}
+
+/**
+ * Hors ADMIN, une nouvelle adresse ne peut pas être provisoire : poser à la
+ * main `deleted+<id>@piloti.invalid` d'un autre compte bloquerait son
+ * anonymisation (contrainte d'unicité). Seul le code génère ces adresses.
+ */
+export function canSetEmailTo(user: AuthCtx, newEmail: string): boolean {
+  return can(user, "user.email.set") || !newEmail.endsWith(PLACEHOLDER_EMAIL_SUFFIX);
+}
+
 /**
  * #103 / #173 — valider, refuser ou rembourser une note de frais. Le RG ne
  * traite pas SA propre note, même s'il est aussi trésorier. Le trésorier seul