diff --git a/README.md b/README.md
index 746d446..e3efdfe 100644
--- a/README.md
+++ b/README.md
@@ -71,14 +71,19 @@ Tous les projets Flask utilisent **AlpID** (SSO Keycloak).
 
 ## Credentials locaux
 
-Le fichier **`.credentials`** (ignoré par git) centralise les accès à renseigner localement :
+Les secrets vivent **hors du dépôt**, dans le répertoire voisin
+`org.alpinux.owni.secrets/` (droits 700, jamais versionné) :
 
 ```
-.credentials          ← à compléter manuellement, jamais commité
+../org.alpinux.owni.secrets/
+├── .credentials      ← accès généraux, à compléter manuellement
+└── portail.env       ← configuration de déploiement du portail
 ```
 
-Il contient : token Gitea API, accès ISPConfig, accès AlpID admin, secrets clients Keycloak.  
-Utiliser `source .credentials` dans un script pour charger les variables.
+`.credentials` contient : token Gitea API, accès ISPConfig, accès AlpID admin,
+secrets clients Keycloak.
+Utiliser `source ../org.alpinux.owni.secrets/.credentials` dans un script pour
+charger les variables.
 
 ---