docs(README): update secrets handling

Author: yktsnet

README.md

@@ -25,6 +25,9 @@ AIエージェントの自律的な編集能力を最大限に活かしつつ、
 自律型エージェントにコード作成やテスト実行を任せるためには、動作させるローカルマシンの状態依存（環境差）を排除することが不可欠。
 本リポジトリでは Nix Flakes および Home Manager をベースのインフラとして採用。MacBook（macOS）と Linux デスクトップにわたり、エージェントが利用するツールチェーン（Neovim, Yazi, Git, LSP等）や実行バイナリ、環境変数をコードとして完全に同一化。これにより、環境の差異によるエージェントの「コマンド未検出」「実行時エラー」を防止し、異なるOS間でのシームレスなAI協調開発の基盤を担保。
 
+### 3. 機密情報・インフラ設定の分離 (Secrets & Configs Isolation)
+公開リポジトリ側のコードやIssueファイルに、本番環境のIPやポート番号、実ホスト名などの具体的な機密情報（シークレット）を直接記述しないよう、ローカルの `secrets-agents/` ディレクトリに設計値を隔離してエージェントに参照させる。
+
 ---
 
 ## Agent Profiles & Branch Management

docs-agents/harness-guide.md

@@ -68,6 +68,9 @@ PR の `## 検証手順` には Agent 側で完結しない確認（デプロイ
 
 push 系は deny が優先されるため `Bash(git *)` allow と両立する。
 
+> [!NOTE]
+> 外部のプライベート情報を読み込ませる場合は、`.claude/settings.json` の `permissions` に `read_file: ["/Users/ykts/dotfiles/secrets-agents/"]` を設定します。
+
 ### allow（類型別）
 
 | 類型 | 追加 allow |
@@ -110,7 +113,7 @@ Agent が読む指示を役割で分ける。
 ```
 
 **書くもの**: コマンド、構造の要点、検証手段。
-**書かないもの**: 禁止・強制（→ settings.json の deny）、attribution（→ settings.json）、長大な仕様（→ context/ または `.claude/rules/`）。
+**書かないもの**: 禁止・強制（→ settings.json の deny）、attribution（→ settings.json）、長大な仕様、公開を避けるべきインフラ設定・秘密情報（→ `~/dotfiles/secrets-agents/` のファイルを参照する指示のみを書く）。
 
 ### context/
 

docs-agents/issue-driven-workflow.md

@@ -87,6 +87,10 @@ draft  →（設計完了）→  open  →（issue-finish）→  close
 
 元のIssueを再open、または同一Agentセッションへの追記プロンプト送信は禁止。記録保持のため常にIssueファイルを起点とする。
 
+### 情報セキュリティ
+
+- 公開リポジトリでは、本番環境のIP、固有ポート、実ホスト名（例：`production-server`）などの具体的な接続情報はIssueファイルに直接記述せず、`~/dotfiles/secrets-agents/` のファイルを参照するよう記述する。
+
 ---
 
 ## シェル関数

secrets-agents/production-server.md

@@ -0,0 +1,21 @@
+# secrets-agents/production-server.md (Dummy Example)
+
+> [!IMPORTANT]
+> **secrets-agents/ ディレクトリの運用について**
+> このディレクトリ（secrets-agents/）は、本番環境のIP、接続ポート、ユーザー名といった「外部公開を避けるべき設計値」を集約し、AI Agent（Claude Code 等）にローカルで安全に参照させるためのものです。
+> **実際の運用では、このディレクトリをプライベートなリポジトリとして独立して管理するか、あるいは `.gitignore` に追加してGitHubなどの外部リモートには絶対にプッシュしない**ように運用します（本リポジトリでは公開サンプルとしてダミーファイルを配置しています）。
+
+---
+
+## SSH / Host Details
+- IP: 192.168.1.100 (Dummy)
+- Hostname: production.local
+- User: dummy-user
+
+## Docker Containers & Ports
+- app: http://localhost:8093
+- db: 127.0.0.1:3307
+- localstack: 127.0.0.1:4567
+
+## Paths
+- App Root: /home/dummy-user/apps/kawa-watch