# Sicherheit

- Keine ausgefüllten `.env`-Dateien, Signal-Daten oder Modellzugangsdaten committen.
- Lokale Konfigurationen werden mit Modus `0600` angelegt.
- Signal- und Telegram-Ziele werden ausschließlich aus `~/.hermes/.env` gelesen.
- Signal-Zugriff per `SIGNAL_ALLOWED_USERS` oder Hermes-DM-Pairing beschränken.
- `GATEWAY_ALLOW_ALL_USERS` nicht für einen Agenten mit Terminalzugriff verwenden.
- Das Update löscht beim Rollback nur einen geprüften Pfad innerhalb von `$HOME`,
  dessen letzter Bestandteil `hermes-agent` ist.
- Backups enthalten Secrets und müssen wie Zugangsdaten geschützt werden.
- Gitea-Repository privat halten, auch wenn keine Secrets eingecheckt werden.
- Vor produktivem Einsatz `git diff --cached` und Secret-Scanning ausführen.