diff --git a/.gitignore b/.gitignore
index d04e248..de55073 100644
--- a/.gitignore
+++ b/.gitignore
@@ -43,3 +43,6 @@ Thumbs.db
 
 # ── Obsidian (local uniquement) ───────────────────────────────────────
 .obsidian/
+
+# ── Credentials locaux ────────────────────────────────────────────────
+.credentials
diff --git a/README.md b/README.md
index fb44218..2999fc3 100644
--- a/README.md
+++ b/README.md
@@ -98,6 +98,19 @@ Tous les projets Flask utilisent **AlpID** (SSO Keycloak).
 
 ---
 
+## Credentials locaux
+
+Le fichier **`.credentials`** (ignoré par git) centralise les accès à renseigner localement :
+
+```
+.credentials          ← à compléter manuellement, jamais commité
+```
+
+Il contient : token Gitea API, accès ISPConfig, accès AlpID admin, secrets clients Keycloak.  
+Utiliser `source .credentials` dans un script pour charger les variables.
+
+---
+
 ## Règle Claude Code
 
 Lancer Claude depuis le sous-dossier du projet pour limiter le contexte :