Sicherheit

Keine ausgefüllten .env-Dateien, Signal-Daten oder Modellzugangsdaten committen.
Lokale Konfigurationen werden mit Modus 0600 angelegt.
Signal- und Telegram-Ziele werden ausschließlich aus ~/.hermes/.env gelesen.
Signal-Zugriff per SIGNAL_ALLOWED_USERS oder Hermes-DM-Pairing beschränken.
GATEWAY_ALLOW_ALL_USERS nicht für einen Agenten mit Terminalzugriff verwenden.
Das Update löscht beim Rollback nur einen geprüften Pfad innerhalb von $HOME, dessen letzter Bestandteil hermes-agent ist.
Backups enthalten Secrets und müssen wie Zugangsdaten geschützt werden.
Gitea-Repository privat halten, auch wenn keine Secrets eingecheckt werden.
Vor produktivem Einsatz git diff --cached und Secret-Scanning ausführen.