Безопасность Никогда не коммитить SSH private keys (*.key, certdeploy_ed25519) HE.net password (he.net.env, /etc/sertif/secrets/) Production IP и credentials в issue tracker / скриншотах Рекомендации Репозиторий можно держать Public — в нём только примеры (203.0.113.x, example.com) Реальные IP и домены — только на серверах и в локальных копиях конфигов Master: SSH whitelist, PasswordAuthentication no, AllowUsers sertifadmin Slaves: firewall — SSH с IP Master для deploy certdeploy на slaves — один deploy-ключ, без пароля Ротация Компонент Действие HE.net configure-he-dns.sh Deploy key re-key + authorized_keys на slaves Admin SSH обновить pubkey на Master