diff --git a/.gitignore b/.gitignore
index 69a1834..1b1686c 100644
--- a/.gitignore
+++ b/.gitignore
@@ -1,2 +1,12 @@
 .DS_Store
 *.tmp
+
+# Real secrets: only secret.example.yaml is versioned.
+# k8s/kustomization.yaml still references secret.yaml, so a fresh clone must
+# create it first — see README.
+k8s/secret.yaml
+
+# TLS material
+*.crt
+*.key
+*.pem
diff --git a/k8s/README.md b/k8s/README.md
index 7a0cd3c..780aa69 100644
--- a/k8s/README.md
+++ b/k8s/README.md
@@ -42,6 +42,18 @@ k8s/
 
 ## Déploiement
 
+`k8s/secret.yaml` n'est pas versionné : il porte les mots de passe réels (base
+PostgreSQL, admin Keycloak, secrets clients OIDC). Le créer une fois depuis le
+gabarit, puis renseigner chaque `<CHANGE_ME>` :
+
+```bash
+cp k8s/secret.example.yaml k8s/secret.yaml
+$EDITOR k8s/secret.yaml
+```
+
+`k8s/kustomization.yaml` le référence, donc le déploiement échoue tant qu'il
+est absent.
+
 ```bash
 kubectl apply -k k8s/
 ```