diff --git a/configs/releng/airootfs/usr/share/anaconda/interactive-defaults.ks b/configs/releng/airootfs/usr/share/anaconda/interactive-defaults.ks
index 0c601cc..825d0cf 100644
--- a/configs/releng/airootfs/usr/share/anaconda/interactive-defaults.ks
+++ b/configs/releng/airootfs/usr/share/anaconda/interactive-defaults.ks
@@ -289,7 +289,9 @@ case "$DESK" in
     cli|*)    PKGS="" ;;
 esac
 # Navigateur de base ajouté DÈS QU'un bureau est choisi (jamais en CLI).
-[ -n "$PKGS" ] && PKGS="$PKGS firefox"
+# + python-gobject : fenêtre de bienvenue fws-hello (GTK3 vient avec Firefox)
+# + pacman-contrib : checkupdates/paccache (indicateur de MàJ + fws-update)
+[ -n "$PKGS" ] && PKGS="$PKGS firefox python-gobject pacman-contrib"
 if [ -n "$PKGS" ]; then
     pacman-key --init            &>/dev/null || true
     pacman-key --populate archlinux &>/dev/null || true
@@ -493,6 +495,13 @@ grub-mkconfig -o /boot/grub/grub.cfg 2>/dev/null || true
 # motd « live » (texte inadapté + codes ANSI bruts affichés crus par GDM).
 rm -f /etc/motd
 
+# --- 4quinquies) Pare-feu par défaut -------------------------------------------
+# firewalld est dans l'IMAGE (packages.x86_64) → recopié par le payload,
+# activation possible HORS LIGNE. Zone par défaut « public » : entrées
+# bloquées, sortant libre — le comportement attendu d'un poste de travail.
+# GUI incluse dans le paquet (firewall-config) ; KDE a en plus plasma-firewall.
+systemctl enable firewalld.service 2>/dev/null || true
+
 # --- 5) Sécurité : verrouiller root s'il est resté SANS mot de passe ----------
 # L'airootfs live a souvent un root sans mot de passe ; si l'utilisateur n'en a
 # pas défini dans le GUI, on verrouille plutôt que de laisser le compte ouvert.