docs: add Apple to brand tables and troubleshooting section (proxy-ARP)

- Add Apple ecosystem row in all three README brand tables
- Add Troubleshooting section explaining proxy-ARP false positives and
  the TCP check fix (fr/en/es)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

README.fr.md

@@ -318,6 +318,7 @@ Plusieurs logos peuvent s'afficher simultanément si plusieurs mots-clés corres
 | Messagerie | Serveur mail | `mail`, `smtp`, `imap`, `postfix`, `dovecot`, `mailcow`, `mailu`, `roundcube` |
 | Base de données | MariaDB | `mariadb`, `maria db` |
 | Orchestration | Kubernetes | `kubernetes`, `k8s`, `kubectl`, `k3s` |
+| Écosystème Apple | Apple | `apple`, `iphone`, `ipad`, `ipados`, `macbook`, `imac`, `mac mini`, `mac pro`, `mac studio`, `macos`, `mac os`, `ios`, `icloud`, `airpods`, `airdrop` |
 | OS | Debian | `debian` |
 | OS | Ubuntu | `ubuntu` |
 | Automatisation | Ansible | `ansible` |
@@ -393,6 +394,23 @@ npm run dev   # Serveur dev Vite sur :5173, proxifie /api/ vers :8000
 
 ---
 
+## 🔧 Dépannage
+
+### Le scan remonte des centaines de faux positifs (proxy-ARP / UniFi)
+
+**Symptôme** — La découverte automatique retourne autant d'hôtes qu'il y a d'adresses dans le sous-réseau (par exemple 254 pour un `/24`), alors que seules quelques machines sont réellement présentes.
+
+**Cause** — Certains équipements réseau (notamment UniFi Security Gateway, Dream Machine et équipements similaires) activent le proxy-ARP et répondent aux pings ICMP pour **toutes** les IP du sous-réseau, en usurpant l'IP source de la réponse. La vérification de l'IP source intégrée au scan ne peut donc pas filtrer ces faux positifs.
+
+**Solution** — Cocher l'option **"Vérification TCP (anti proxy-ARP)"** dans l'écran de configuration du scan. Cette option sonde chaque hôte sur les ports TCP 22, 80, 443, 8080 et 8443 après le ping ICMP :
+
+- Un **vrai hôte** répond avec RST (port fermé) ou accepte la connexion → considéré vivant.
+- Une **IP fantôme** : le gateway droppe silencieusement le SYN sans répondre → timeout → éliminée.
+
+> **Note** : un équipement dont le pare-feu bloque silencieusement (*DROP*, sans RST) **tous** les ports sondés ne sera pas découvert automatiquement et devra être ajouté manuellement.
+
+---
+
 ## 🏗️ Architecture
 
 Voir [`docs/architecture.md`](docs/architecture.md) pour le flux de requêtes détaillé, la configuration Docker et le modèle d'authentification.