diff --git a/ops/run-rootless.sh b/ops/run-rootless.sh
index 74679ce0a..776b103f6 100755
--- a/ops/run-rootless.sh
+++ b/ops/run-rootless.sh
@@ -45,7 +45,12 @@ export AUTH_SECRET
 
 # L'image écoute sur 0.0.0.0 parce que le nom d'hôte que Docker fabrique n'est
 # pas toujours résolvable. Derrière un proxy local, la boucle locale suffit et
-# évite d'exposer le serveur applicatif directement. Surchargeable par l'unité.
-export HOSTNAME="${HOSTNAME:-127.0.0.1}"
+# évite d'exposer le serveur applicatif directement.
+#
+# Le défaut se lit sur HOMARR_BIND_HOST et non sur HOSTNAME : bash initialise
+# lui-même HOSTNAME au nom de la machine, donc `${HOSTNAME:-127.0.0.1}` ne
+# prendrait jamais sa valeur par défaut — Next résoudrait ce nom et écouterait
+# sur l'adresse du réseau, exactement ce qu'on veut éviter ici.
+export HOSTNAME="${HOMARR_BIND_HOST:-127.0.0.1}"
 
 exec node apps/nextjs/server.js