# Secrets and Network

## Secrets

- `.env` alleen lokaal en nooit committen.
- Productie gebruikt Unraid secrets/files of een passende secret store.
- Service tokens: random 256-bit minimum, prefix voor identificatie, Argon2id/HMAC-hash met pepper, one-time display.
- Provider/API keys worden geredact uit logs, traces en errors.
- Rotatie ondersteunt overlap met maximaal twee actieve credentials per service account.

## Network matrix

| From | To | Doel |
|---|---|---|
| reverse proxy | app:8080 | UI/API |
| app | postgres:5432 | control/authorization |
| app | qdrant:6333 | retrieval |
| app | approved model endpoint | generation/embedding waar nodig |
| worker | postgres/qdrant/blob paths | jobs/ingestion |
| worker | allowlisted source endpoints | connector acquisition |

Geen andere standaardflows. Productie egress wordt waar praktisch op domains/IP-ranges beperkt.