Faits : A. A.a. Z._ (ci-après: l'employée) a travaillé comme infirmière diplômée dès avril 2004 auprès de la clinique psychiatrique..., exploitée par la société A._ Sàrl (ci-après: l'employeuse). Son taux de travail était initialement de 100%, puis de 75% dès le 1 er novembre 2009, et enfin de 60% depuis le 1 er octobre 2012. En janvier 2015, son salaire mensuel brut était de 4'009 fr. 80. Chargée d'évaluer le travail de l'employée en 2014, sa supérieure directe I._, directrice des soins (ci-après: l'infirmière-cheffe), avait relevé ses excellentes capacités pour le travail de nuit et la qualité de celui-ci. Entendue comme témoin dans la procédure évoquée ci-après (let. B), elle a confirmé que l'employée était une bonne infirmière en qui elle avait toute confiance. A.b. Au moment des faits relatés ci-dessous, la clinique comprenait quatre services, soit trois dans le bâtiment principal et un à l'extérieur. La nuit, chaque service était placé sous la responsabilité d'une infirmière diplômée; une aide-soignante était disponible sur les quatre sites. Dans la nuit du 5 au 6 janvier 2015, l'employée était responsable du service situé au 1er étage du bâtiment principal. Son horaire de travail s'étendait de 19 heures 45 à 07 heures 15, avec 42 minutes de pause. 17 patients se trouvaient dans le service; bien qu'autonomes, ils présentaient diverses pathologies pouvant inclure le risque de suicide, telles que des troubles alimentaires, des troubles anxio-dépressifs ou toute autre pathologie psychiatrique. Vers deux heures du matin, l'infirmière-cheffe, qui était aussi de garde, a décidé de se rendre dans le service confié à l'employée pour vérifier ce qui s'y passait. A la fin décembre 2014, une patiente lui avait signalé qu'à deux reprises, elle avait vainement cherché l'infirmière de garde. Constatant qu'il s'agissait à chaque fois de l'employée, l'infirmière-cheffe souhaitait s'assurer par elle-même que sa collaboratrice était digne de confiance. Elle a donc parcouru tous les locaux du service - y compris la salle de soins - et les deux étages du site, puis s'est rendue en dernier ressort dans le salon du service, situé en retrait. Elle a tenté d'ouvrir la porte, qui était fermée à clé de l'intérieur, en activant plusieurs fois la poignée. L'employée a ouvert assez rapidement. L'infirmière-cheffe a eu l'impression que l'intéressée venait de se réveiller car elle était ahurie; il faisait sombre à l'intérieur et la télévision ne fonctionnait pas. Choquée de la découvrir dans cet endroit et constatant qu'une patiente passait à ce moment-là, l'infirmière-cheffe ne s'est pas entretenue avec l'employée. Elle lui a simplement demandé de retourner dans la salle de soins, qui ne comprenait pas d'endroit où l'on puisse dormir. Inquiète des événements, l'employée a contacté l'aide-soignante de garde, qui l'a rejointe. Elles ont convenu de déclarer à l'infirmière-cheffe que la première avait pris sa pause et s'était fait remplacer par la seconde, ce qui n'était pas le cas. Entendue comme témoin, l'aide-soignante a reconnu avoir accepté de soutenir cette version non conforme à la réalité pour défendre sa collègue. L'employée a admis devant le tribunal que cette façon d'agir n'était ni intelligente, ni très honnête. L'infirmière-cheffe, qui était partie à la recherche de l'aide-soignante, l'a finalement trouvée en compagnie de l'employée. Cette dernière a expliqué qu'elle était en train de prendre sa pause et s'était fait remplacer par l'aide-soignante. L'infirmière-cheffe a demandé à l'aide-soignante où elle se trouvait; elle n'a pas cru l'explication donnée par l'intéressée, pressentant que celle-ci s'était reposée quelque part. A.c. Le 6 janvier 2015, l'employée a été convoquée avant de débuter sa garde à 19 h 45. Elle s'est vu signifier son licenciement avec effet immédiat. La lettre remise à cette occasion indiquait qu'elle avait commis un manquement grave dans l'exercice de sa profession d'infirmière pour s'être enfermée à clé dans le salon du service, d'où elle ne pouvait pas entendre les sonnettes d'appel des malades, ni répondre au besoin d'un patient qui se serait présenté à la salle de soins; en outre, tout laissait supposer qu'elle s'était endormie dans le salon. Dès lors qu'un tel comportement aurait pu avoir des conséquences graves sur la sécurité des patients hospitalisés dans le service, il se justifiait de résilier son contrat avec effet immédiat. A.d. Le 3 février 2015, l'employée a contesté son licenciement, par l'intermédiaire de son syndicat. Elle a exposé qu'elle ne réfutait pas le fait de s'être endormie, car elle prenait sa pause en accord avec sa collègue aide-soignante qui pouvait venir la chercher à tout moment en cas de besoin. En revanche, elle contestait que le fait de dormir ait mis en danger la sécurité des patients et ait été de nature à détruire le lien de confiance entre les parties d'une façon telle que la poursuite des relations de travail ne pouvait être exigée. Elle se tenait à disposition pour reprendre le travail. B. B.a. Au bénéfice d'une autorisation de procéder, l'employée a attrait l'employeuse par demande du 14 juillet 2015 devant le Tribunal de prud'hommes de l'arrondissement de... (VD). Exigeant d'être indemnisée pour le congé immédiat qui était selon elle injustifié, elle concluait au paiement de 30'000 fr. nets et à la délivrance d'un certificat de travail rectifié. Elle expliquait avoir revu ses prétentions à la baisse pour rester dans la compétence de la juridiction prud'homale - qui connaît d'affaires dont la valeur litigieuse n'excède pas 30'000 fr. (art. 2 al. 1 let. a de la loi vaudoise sur la juridiction du travail [LJT; RSV 173.61]). A l'audience du 11 janvier 2016, l'employée a fait savoir que la question du certificat de travail était résolue. B.b. Entendue dans le cadre de la procédure, l'infirmière-cheffe a expliqué qu'un patient avait trois possibilités pour contacter l'infirmière de veille. Premièrement, il pouvait appuyer sur un bouton qui était relié à la salle de soins. Un voyant lumineux et une sonnerie s'enclenchaient dans cette salle, indiquant à l'infirmière de quel patient il s'agissait. Un second tableau lumineux était installé à l'étage dans le corridor. Deuxièmement, le patient pouvait appuyer sur un bouton du téléphone relié au portable de l'infirmière de veille; les patients étaient orientés plutôt vers cette possibilité. Si une infirmière recevait deux appels en même temps, elle adaptait ses priorités notamment sur la base de la «remise de service» qui avait été faite. Troisièmement, le patient pouvait se rendre auprès de l'infirmière de veille. Celle-ci avait la responsabilité du service et devait rester atteignable en tout temps par les patients. Quand elle voulait prendre sa pause, elle ne devait pas s'absenter du service avant que l'aide-soignante polyvalente vienne la remplacer. Hormis la période de pause, l'infirmière devait se tenir dans la salle de soins lorsqu'elle n'était pas occupée avec un patient. Elle pouvait s'installer confortablement et regarder la télévision, mais ne pouvait pas dormir. Il importait qu'elle fût visible des patients même si elle s'assoupissait momentanément, raison pour laquelle elle devait se trouver dans la salle de soins dont la porte était vitrée. Cette salle, fermée à clé, ne pouvait être ouverte de l'extérieur que par une personne ayant la clé requise. Depuis le salon du service, il n'était pas possible d'entendre la sonnette s'actionner dans la salle de soins. Egalement auditionnée comme témoin, l'aide-soignante a pour sa part affirmé que l'on pouvait entendre la sonnette depuis le salon à condition que la porte fût ouverte. Quant à l'employée, elle a expliqué au tribunal que cette nuit-là, un patient séjournant dans la chambre contiguë aux locaux dans lesquels elle vaquait à ses occupations - soit la salle de soins, le bureau infirmier et la pharmacie - s'était plaint à deux reprises qu'elle l'empêchait de dormir à cause de sa toux. Elle avait donc pris l'initiative de s'installer dans le salon au lieu de s'allonger sur la table d'examen dans la salle de soins comme les veilleuses avaient coutume de le faire. Il ne s'agissait pas d'y prendre sa pause mais juste de s'y tenir avec le téléphone. Le tableau relatif aux sonneries des patients, situé dans la pharmacie, n'était pas fiable car il n'émettait qu'une faible sonnerie qui était couverte par le bruit d'un ordinateur, et le voyant lumineux n'était visible que si l'on était en face du panneau, raison pour laquelle le téléphone était privilégié. L'employée s'était donc installée sur le canapé du salon et avait passé l'essentiel du temps à tousser; elle ne s'était pas endormie et n'avait pas regardé la télévision ni lu. Une heure et demie ou deux heures au maximum s'étaient écoulées avant que l'infirmière-cheffe vînt vers elle. L'infirmière-cheffe n'a pas constaté que l'employée toussait cette nuit-là. B.c. Considérant que le licenciement immédiat était injustifié, l'autorité prud'homale a alloué à l'employée 13'344 fr. 35 bruts, «dont à déduire les cotisations sociales légales et contractuelles», en compensation de ce qu'elle aurait gagné si les rapports avaient pris fin à l'échéance du délai de congé (art. 337c al. 1 CO), soit le 30 avril 2015 (art. 335c al. 1 CO). L'employée a en outre obtenu une indemnité de 2'000 fr. nets fondée sur l'art. 337c al. 3 CO. B.d. Statuant sur appel de l'employeuse, le Tribunal cantonal vaudois a confirmé ce jugement, et en particulier le caractère injustifié du congé immédiat, à l'issue de l'analyse résumée ci-dessous. L'employée était investie d'une responsabilité importante, comme elle était appelée à veiller sur 17 patients dont certains étaient affectés de pathologies pouvant inclure le risque de suicide. Un employeur avait un intérêt particulier à se fier à la rectitude absolue d'un travailleur qui était amené à agir seul dans une fonction à responsabilité, sans le contrôle de son employeur, notamment lorsqu'il était en contact direct avec la clientèle; or, tel était le cas de l'employée. Le fait de s'être enfermée dans le salon du service constituait assurément une faute qui aurait pu avoir des conséquences graves, eu égard aux pathologies dont souffraient les patients sous sa garde. Néanmoins, l'employeuse ne démontrait pas que dans le cas d'espèce, ce risque ait réellement présenté un caractère plus concret que celui d'une simple hypothèse. L'employeuse ne soutenait pas que l'un des patients présentait réellement un tel risque reconnaissable pour l'employée. En outre, cette dernière ne s'était pas rendue totalement inaccessible, puisqu'elle demeurait atteignable par le moyen de communication qui était recommandé aux patients, soit le téléphone. De plus, l'employée relevait à juste titre que d'autres situations pouvaient empêcher d'être joignable par la sonnette d'alarme, par exemple lorsque l'infirmière se trouvait auprès d'un patient; or, cela ne semblait pas constituer un danger aux yeux de l'employeuse. Finalement, l'employeuse n'avait pas établi de règlement ou de directive écrite prescrivant à l'infirmière de se tenir impérativement dans la salle de soins; on ne pouvait affirmer que l'employée aurait violé des règles centrales de la déontologie ou de l'éthique professionnelle. En bref, si le manquement de l'employée était certes blâmable, il n'atteignait pas la gravité suffisante pour justifier un congé immédiat. Il s'agissait d'un épisode isolé dans un parcours sans tache, l'employée ayant donné parfaite satisfaction pendant une durée considérable. Certes, poursuivait le Tribunal cantonal, le mensonge ourdi avec l'aide-soignante constituait une vilénie supplémentaire qui était de nature à porter atteinte au lien de confiance déjà mis à mal par le manquement initial. Toutefois, on ne pouvait soutenir qu'après plus de dix ans de collaboration sans reproche, un tel mensonge ait pour effet d'exclure objectivement la continuation des rapports de travail jusqu'à la prochaine échéance du contrat. La durée importante de la collaboration et la bonne qualité du travail fourni revêtaient une importance prépondérante par rapport à une faute d'une certaine gravité, mais pas extrêmement grave. C. L'employeuse a saisi le Tribunal fédéral d'un recours en matière civile assorti d'une demande d'effet suspensif, à l'issue duquel elle requiert le rejet pur et simple des conclusions de la demande déposée le 14 juillet 2005 par l'employée. L'employée a conclu au rejet du recours. L'autorité précédente ne s'est pas déterminée. L'effet suspensif a été refusé par ordonnance présidentielle du 28 avril 2017.