runbook: cloture pieges seed.py (transitoire) + derive GITEA_TOKEN (fix permanent .env chgrp/chmod)

common/context-hub-memory-entries-securite-mcp.md

@@ -116,3 +116,36 @@ consideree complete pour cette iteration ; reste ouvert : endpoints REST pour
 memory_entries (non fait, MCP suffit pour l'instant), connexion MCP reelle
 d'Antigravity a valider cote client (le serveur est pret et teste, jamais
 teste depuis Antigravity lui-meme plutot que le SDK Python).
+
+
+## Cloture des 2 pieges (30/07/2026, meme jour)
+
+**seed.py (Permission denied)** : investigue plus a fond -- `synoacltool -get` confirme
+le volume en mode Linux pur (aucune ACL Synology au-dela des permissions POSIX
+standard). Reecriture directe retestee : fonctionne normalement. C'etait
+transitoire (cause non identifiee avec certitude -- hypothese la plus probable :
+verrou bref d'un service Synology comme l'indexation, jamais confirme), pas un
+probleme structurel. Rien a corriger ; le contournement delete+recreate documente
+plus haut reste valable si ca se reproduit.
+
+**Derive GITEA_TOKEN (.env)** : root cause confirmee -- `chgrp`/`chown` refuses
+meme en root depuis mcp-nas (capacite retiree, coherent avec le durcissement
+post-audit RCE), et `setfacl`/`getfacl` absents (container et hote). Avant de
+choisir un `chmod 644` (seule option accessible sans intervention de Nabil), le
+contenu complet de `.env` a ete verifie : il contient NAS_SSH_PASSWORD, le token
+Baserow Zone Sud, ADMIN_PASSWORD/SECRET, JWT_SECRET -- bien trop sensible pour un
+elargissement unilateral a "tout compte du NAS". Nabil a tranche : fix permanent
+via `sudo chgrp users .env && sudo chmod 640 .env` (execute par lui en session
+interactive root). Verifie : Best0f peut desormais lire `.env`. Container
+recree (`docker stop && docker rm && docker compose up -d` -- un conflit de nom
+a du etre resolu au passage, le compose ne remplace pas automatiquement un
+container existant). GITEA_TOKEN vivant dans le container == GITEA_TOKEN dans
+`.env`, derive resorbee. Batterie complete de tests rejouee post-recreate --
+tout passe, aucune regression.
+
+**Lecon generalisable** : tout `.env` root:600 sur ce NAS bloque de la meme
+facon un recreate par Best0f. Si un autre container presente un jour le meme
+symptome (docker compose up --build/up echoue avec "permission denied" sur
+.env), le meme fix (`chgrp users` + `chmod 640`) s'applique, sous reserve de
+verifier au prealable le contenu du fichier concerne (meme reflexe : ne jamais
+elargir un acces sur un fichier de secrets sans en avoir lu le contenu reel).