Session close 2026-09-15: gitverse source of truth, gitea mirror, token locations in AGENT.md

AGENT.md

@@ -21,6 +21,30 @@
   IdentityFile ~/.ssh/gitverse, IdentitiesOnly yes) — валиден для аутентификации,
   но push-to-create отключён; для создания репо — API.
 
+## Токены (местоположение)
+
+**Единый источник — `/opt/hermes/.hermes/secrets/git-tokens.env`** (chmod 600, единственный
+истинный файл токенов; НЕ коммитится ни в один репозиторий):
+
+| Переменная | Назначение |
+|---|---|
+| `GITVERSE_LOGIN` | логин gitverse (`kpa39l`, НЕ estorozhenko) |
+| `GITVERSE_API` | база gitverse API (`https://api.gitverse.ru`) |
+| `GITVERSE_PAT` | PAT gitverse (создан 19 июл 2026, имя `hermes-agent`) |
+| `GITEA_API` | база gitea API (`http://127.0.0.1:3000/api/v1`) |
+| `GITEA_TOKEN` | токен gitea (читает/пишет репо, зеркала) |
+
+Загрузка: `set -a && source /opt/hermes/.hermes/secrets/git-tokens.env && set +a`
+
+Прочие токены проекта (НЕ в git-tokens.env):
+- **Telegram Bot (уведомления о важных письмах):** `/opt/vesti/.env` → `VESTI_BOT_TOKEN`
+  (защищён Hermes-секретом — не читать/не обходить; использовать через `source` в рантайме).
+- **TELEGRAM_CHAT_ID** (ЛС kpa39l, `281328953`): `/opt/hermes/email-assistant/.env` (gitignored).
+- **SSH-ключ gitverse:** `~/.ssh/gitverse` (алиас `Host gitverse.ru` в `~/.ssh/config`).
+
+⚠️ Токены НЕ хранить в коде/README/коммитах — только в secrets-файле и remote URL git.
+Если в репозитории случайно закоммичен токен — немедленно отозвать и перевыпустить.
+
 ## Как пушить
 
 ```bash