diff --git a/common/vps-memory-node.md b/common/vps-memory-node.md
index 96fb392..4d59089 100644
--- a/common/vps-memory-node.md
+++ b/common/vps-memory-node.md
@@ -81,3 +81,13 @@ Arbre + historique git `nas-runbooks` ; historiques git `hermes-skills`, `hermes
 ## Constats connexes (hors purge, à corriger)
 - Le skill **live** `nas-executor` (hermes-perso) hardcode **un autre secret actif** (`SSHPASS=…`, 3×) — même anti-pattern, à passer en variable d'env.
 - L'arbre courant de `nas-runbooks` contient encore des secrets famille `2L2u519w*` en clair (bestof/DSM dans HEBERGEMENT-SITES-STATIQUES.md, cin-search-tt…) : la **rotation totale** demandée par l'audit mcp-nas du 08/07 reste à faire.
+
+## mcp-vps — organe d'action blackout (12/07/2026)
+
+Le VPS héberge désormais **mcp-vps** : MCP Linux (dérivé de linux-mcp-nas) exposé via
+**Cloudflare Tunnel** sur `mcp.yesminedor.tn` (zone migrée OVH→CF, aucun port ouvert sur
+l'IP Contabo), auth par **chemin secret** dans l'URL, **alerte Telegram** à chaque session.
+Claude peut lire le miroir bare + les répliques (`/mnt/memory-node/{git,data}` en ro) et agir
+sur le VPS (`ssh vps.internal` = claude-oversight, sudoers scopé inchangé) **sans le NAS**.
+Test blackout complet validé le 12/07/2026. Stack : `/opt/memory-node/mcp-vps`
+(git local + Gitea `bolbol/mcp-vps`). **Runbook dédié : `common/mcp-vps.md`.**