# Секреты

## Правила
1. Секреты не попадают в git — никогда: код, docs, скрипты, примеры конфигов.
2. В рантайме — `.env` рядом с сервисом, chmod 600, файл в `.gitignore`.
3. Каноническое хранилище — gnexus-creds: каждый сервисный секрет заводится там
   с тегами сервиса, `allow_mcp=true`, чувствительные поля `encrypted=true`.
4. В документации — только ссылки (имя секрета в creds), не значения.
5. Ротация — через gnexus-creds + обновление `.env`; старая версия остаётся в истории.

## Ссылки
- Сервис: https://creds.gnexus.space (для агентов — MCP `gnexus-creds`)