Initial curated RAGcore source from c16667f0c9397e2bfc8dd0255b114fba23c8d05e

docs/07_SECURITY/SECRETS_AND_NETWORK.md

@@ -0,0 +1,22 @@
+# Secrets and Network
+
+## Secrets
+
+- `.env` alleen lokaal en nooit committen.
+- Productie gebruikt Unraid secrets/files of een passende secret store.
+- Service tokens: random 256-bit minimum, prefix voor identificatie, Argon2id/HMAC-hash met pepper, one-time display.
+- Provider/API keys worden geredact uit logs, traces en errors.
+- Rotatie ondersteunt overlap met maximaal twee actieve credentials per service account.
+
+## Network matrix
+
+| From | To | Doel |
+|---|---|---|
+| reverse proxy | app:8080 | UI/API |
+| app | postgres:5432 | control/authorization |
+| app | qdrant:6333 | retrieval |
+| app | approved model endpoint | generation/embedding waar nodig |
+| worker | postgres/qdrant/blob paths | jobs/ingestion |
+| worker | allowlisted source endpoints | connector acquisition |
+
+Geen andere standaardflows. Productie egress wordt waar praktisch op domains/IP-ranges beperkt.