From 197454931fa9f5a2c24c19e61963666120d3b97b Mon Sep 17 00:00:00 2001
From: Micha <michideheld@gmx.de>
Date: Mon, 4 May 2026 19:54:28 +0200
Subject: [PATCH] Ignore local env files and template Hermes stack env

Ignore local env files and template Hermes stack env
---
 .gitignore                                    | 29 +++++++++++++++++++
 docs/AI_CONTEXT.md                            |  2 +-
 docs/REPO_MAP.md                              |  4 +--
 .../{stack.env => stack.env.example}          |  0
 4 files changed, 32 insertions(+), 3 deletions(-)
 create mode 100644 .gitignore
 rename ops/hermes-agent/{stack.env => stack.env.example} (100%)

diff --git a/.gitignore b/.gitignore
new file mode 100644
index 0000000..69446d7
--- /dev/null
+++ b/.gitignore
@@ -0,0 +1,29 @@
+# Local environment and stack values
+.env
+*.env
+!*.env.example
+**/stack.env
+!**/stack.env.example
+
+# Secrets and certificate material
+**/secrets/
+**/letsencrypt/
+**/acme.json
+**/*.key
+**/*.pem
+**/*.crt
+
+# Backup, dump, and archive artifacts
+**/*.dump
+**/*.sql.gz
+**/*.archive.gz
+**/*.tar
+**/*.tar.gz
+**/*.tgz
+**/*.zip
+
+# Local/editor noise
+.DS_Store
+Thumbs.db
+*.tmp
+*.log
diff --git a/docs/AI_CONTEXT.md b/docs/AI_CONTEXT.md
index b190fd9..934c7b4 100644
--- a/docs/AI_CONTEXT.md
+++ b/docs/AI_CONTEXT.md
@@ -158,7 +158,7 @@ KI-Agenten sollen konservativ arbeiten: keine indirekten Live-Aenderungen, keine
 - `backrest`, `borg-ui` und `filebrowser` haben breite Mounts; bei Hardening nicht ad hoc, sondern gezielt vorgehen.
 - `scrutiny` ist privilegiert und hat Device-Mounts.
 - `Plex-Media-Server` ist im Architekturziel als Host-Sonderfall dokumentiert, aber nicht als Repo-Compose-Stack enthalten.
-- `ops/hermes-agent/stack.env` liegt als echte Env-Datei im Repo. Werte wurden fuer dieses Kontextpaket nicht gelesen; pruefen, ob daraus ein Example/Host-Only-Modell werden soll.
+- Echte `stack.env`- und `.env`-Dateien gehoeren nicht ins Repo; fuer Hermes liegt nur `ops/hermes-agent/stack.env.example` im Git.
 - Einige Images nutzen mutable Tag plus Digest. Das friert den aktuellen Digest ein, ist aber kein automatisches Upgrade-Modell.
 
 ## Arbeitsregel bei Unsicherheit
diff --git a/docs/REPO_MAP.md b/docs/REPO_MAP.md
index 57cb4a7..03d29ee 100644
--- a/docs/REPO_MAP.md
+++ b/docs/REPO_MAP.md
@@ -48,7 +48,7 @@ Secret-Werte werden hier nicht dokumentiert. Aufgefuehrt werden nur Variablennam
 | `ops/borg-ui/scripts/pre-backup-dumps.sh` | Host-seitiges Dump-Skript fuer PostgreSQL, Mealie, Immich und Komodo Mongo |
 | `ops/hermes-agent/config/hermes/config.yaml` | Hermes Agent Konfiguration mit Env-Platzhaltern |
 | `ops/hermes-agent/hermes.env.example` | Beispiel fuer Hermes `.env`; echte Datei liegt auf Host-Appdata |
-| `ops/hermes-agent/stack.env` | echte Stack-Env-Datei im Repo gefunden; Werte nicht gelesen, nur Keys `TZ`, `HERMES_DASHBOARD_HOST` bekannt |
+| `ops/hermes-agent/stack.env.example` | Beispiel fuer Hermes Stack-ENV; echte `stack.env` bleibt host-/komodoseitig und ist per `.gitignore` ausgeschlossen |
 | `ops/grafana-influxdb/stack.env.example` | `INFLUXDB_BIND_IP` Default `127.0.0.1`; auf Unraid fuer Home Assistant auf LAN-IP setzen |
 | `ops/komodo/stack.env.example` | Komodo Stack-ENV-Beispiel, Secret-Werte nicht enthalten |
 
@@ -215,7 +215,7 @@ Das Skript liest Secret-Dateien auf dem Host und schreibt Dump-Artefakte. Bei An
 
 ## Unsicherheiten / TODOs aus Repo-Sicht
 
-- `ops/hermes-agent/stack.env` ist eine echte Env-Datei im Repo; Werte wurden nicht gelesen. Pruefen, ob das dauerhaft gewollt ist oder ein `stack.env.example` plus Git-Ignore besser waere.
+- Echte `stack.env`- und `.env`-Dateien sind per `.gitignore` ausgeschlossen; nur `*.example`-Dateien gehoeren ins Repo.
 - Authelia `configuration.yml` ist als Template markiert, enthaelt aber konkrete Domains. Pruefen, ob der Host-Stand und die Repo-Template-Datei bewusst getrennt bleiben.
 - Authelia Access-Control und Compose-Middlewares wirken nicht ueberall deckungsgleich, z. B. Homepage ist in Compose mit Authelia-Middleware geroutet, in Authelia aber als bypass gelistet.
 - `apps/mealie` nutzt in Compose `mealie_internal`; Architektur-Doku nennt teils `mealie_mealie_internal`. Laufzeitnamen koennen durch Compose-Projektpraefixe abweichen.
diff --git a/ops/hermes-agent/stack.env b/ops/hermes-agent/stack.env.example
similarity index 100%
rename from ops/hermes-agent/stack.env
rename to ops/hermes-agent/stack.env.example