diff --git a/.gitea/workflows/ci.yml b/.gitea/workflows/ci.yml
index b4110c9..55b7015 100644
--- a/.gitea/workflows/ci.yml
+++ b/.gitea/workflows/ci.yml
@@ -192,6 +192,10 @@ jobs:
             sleep 1
           done
           curl -sf "http://$GW:2029/api/health" >/dev/null || { echo "App not reachable at $GW:2029"; exit 1; }
+          # Les fixtures sont copiées via `docker cp` en root → rendre le vault
+          # inscriptible par l'utilisateur non-root de l'app (UID 1000), sinon
+          # toute création/édition de fichier renvoie 403 « Vault is read-only ».
+          docker exec -u 0 obsigate-e2e chmod -R a+rwX /vaults/TestVault /vaults/TestDir || true
 
       - name: Run E2E tests
         run: |