infra: piege .env vs docker-compose environment whitelist

common/PROTOCOL-INFRA.md

@@ -103,3 +103,25 @@ hermes-perso (mem_limit container 600m incompatible Chromium/Playwright, routing
 Sonnet/Opus incompatible regle DeepSeek exclusif Hermes, bug upstream #2015
 AskUserQuestion/clarify non resolu sur --host hermes). Detail complet :
 common/GSTACK-EVALUATION-MACBOOK-VS-HERMES.md.
+
+## Piege .env vs docker-compose.yml — decouvert le 03/07/2026
+
+Ajouter une variable au .env d un service NE SUFFIT PAS si le
+docker-compose.yml declare un bloc environment: qui whiteliste
+explicitement chaque variable transmise au container (cas
+d hermes-platform/docker-compose.yml). Une variable absente de ce bloc
+n atteint jamais le container meme si elle est correcte dans le .env.
+
+Regle : pour toute nouvelle variable d integration (cle API, URL de
+service), toujours verifier ET modifier les deux fichiers :
+1. .env (definition de la valeur)
+2. docker-compose.yml, bloc environment: du/des service(s) concerne(s)
+   (transmission de la valeur au container)
+
+Verification post-fix : docker exec <container> env | grep <VAR> sur
+le container recree.
+
+Cas reel : NYORA_DOC_API_KEY manquante des deux fichiers pour les 3
+instances Hermes -> 401 sur nyora-doc-api. Detail complet :
+common/nyora-doc-api-hermes-guide.md, section "Panne corrigee le
+03/07/2026".