{ ... }:

{
  # Étape 1 LAB : la YubiKey est uniquement initialisée par le setup.
  # Aucune authentification PAM/FIDO2 n'est activée à ce stade et aucun
  # credential spécifique à une clé n'est conservé dans Git.
  #
  # YubiKey Manager apporte notamment les règles udev permettant l'accès
  # utilisateur à la clé. L'enrôlement systemd-homed viendra à l'étape 3.
  programs.yubikey-manager.enable = true;
}