diff --git a/ROADMAP.md b/ROADMAP.md
index 97a5bf8..31baf83 100644
--- a/ROADMAP.md
+++ b/ROADMAP.md
@@ -26,21 +26,6 @@ garde-fous d'arguments manquants) est livré — voir **D21** et **D23**.
 - Renvoyer `truncated: true` explicitement plutôt que de laisser le client se
   faire rejeter.
 
-### L3.2 — Erreurs d'authentification muettes
-
-`authenticate()` (`api-service.js`) ré-enveloppe l'erreur axios en
-`new Error('Authentication failed: ' + error.message)` : le **corps de la
-réponse du STS est perdu**, alors qu'il contient le diagnostic complet.
-
-Preuve (24/08/2026, profil `AD`) : le smoke test affiche seulement
-`Authentication failed: Request failed with status code 400` ; en rejouant la
-même requête à la main, le corps était
-`{"error":"invalid_request","error_description":"Tenant not found"}` — le
-diagnostic exact, invisible depuis les outils comme depuis le smoke test.
-
-Faire remonter `error.response.data` dans le message, comme L1.1 l'a fait pour
-les outils. Même contrainte : ne jamais logguer les credentials.
-
 ---
 
 ## Lot 4 — Modèle de données et applications
@@ -197,8 +182,9 @@ plus riche que `/AD/api/Application/GetAll`), `GET /healthcheck?tenantCode=` et
   le tenant `AD`. L'hôte et le STS fonctionnent (LIMAGRAIN, même hôte, passe
   4/4) : c'est la valeur `AD_TENANT` du `.env` qui ne correspond plus à un
   tenant existant. Correction côté propriétaire du dépôt (mettre à jour ou
-  retirer le profil) — pas un bug du code. Le message opaque du smoke test est
-  traité à part (L3.2).
+  retirer le profil) — pas un bug du code. Depuis L3.2, le corps de la réponse
+  du STS (`Tenant not found`) remonte dans les erreurs d'outils et du smoke
+  test.
 - **`select_expression`** : les projections via le paramètre `Select` provoquent
   des erreurs de compilation côté serveur (D13). Irritant principal restant.
 - **Déploiement SSH sur la VM** : l'exécutable est validé, la configuration SSH
diff --git a/src/services/api-service.js b/src/services/api-service.js
index adf9912..bf45e1b 100644
--- a/src/services/api-service.js
+++ b/src/services/api-service.js
@@ -77,8 +77,12 @@ class APIService {
       console.error(`[API] Authentication successful. Token expires in ~${this.tokenMaxAge}s`);
       return this.token;
     } catch (error) {
-      console.error('[API] Authentication failed:', error.message);
-      throw new Error(`Authentication failed: ${error.message}`);
+      // Statut + corps de la réponse STS dans le message : c'est là que vit le
+      // diagnostic ("Tenant not found", ...). Payload volontairement omis — il
+      // contient les credentials ; _enrichHttpError n'inclut jamais les headers.
+      const enriched = this._enrichHttpError(error, 'POST', profile.tokenUrl, undefined);
+      console.error('[API] Authentication failed:', enriched.message);
+      throw new Error(`Authentication failed: ${enriched.message}`);
     }
   }
 
@@ -88,17 +92,17 @@ class APIService {
   async refreshOAuthToken() {
     const tokenAge = this.getTokenAge();
 
-    try {
-      // If token is too old (>= maxAge), use password grant
-      if (tokenAge >= this.tokenMaxAge) {
-        console.error('[API] Token too old, re-authenticating with password...');
-        return await this.authenticate();
-      }
+    // If token is too old (>= maxAge), use password grant
+    if (tokenAge >= this.tokenMaxAge) {
+      console.error('[API] Token too old, re-authenticating with password...');
+      return await this.authenticate();
+    }
 
+    const profile = profileManager.getCurrent();
+    try {
       // Otherwise use refresh_token grant
       console.error('[API] Refreshing token with refresh_token grant...');
 
-      const profile = profileManager.getCurrent();
       const response = await this.httpClient.post(
         profile.tokenUrl,
         new URLSearchParams({
@@ -120,7 +124,10 @@ class APIService {
       console.error('[API] Token refreshed successfully');
       return this.token;
     } catch (error) {
-      console.error('[API] Token refresh failed, re-authenticating:', error.message);
+      // Même enrichissement que authenticate() : statut + corps STS, sans le
+      // payload (refresh_token) ni les headers.
+      const enriched = this._enrichHttpError(error, 'POST', profile.tokenUrl, undefined);
+      console.error('[API] Token refresh failed, re-authenticating:', enriched.message);
       return await this.authenticate();
     }
   }