diff --git a/.gitea/workflows/ci-cd.yml b/.gitea/workflows/ci-cd.yml
index 32d09782..1d80b534 100644
--- a/.gitea/workflows/ci-cd.yml
+++ b/.gitea/workflows/ci-cd.yml
@@ -175,7 +175,7 @@ jobs:
         run: |
           BASE=http://192.168.2.154:8000
           token=$(curl -s -X POST $BASE/api/v1/auth/login -H "Content-Type: application/json" \
-            -d '{"username":"admin","password":"Ccf7561523*"}' \
+            -d '{"username":"admin","password":"${{ secrets.NAS_API_PASSWORD }}"}' \
             | python3 -c "import json,sys;print(json.load(sys.stdin).get('token',''))")
           [ -n "$token" ] || { echo "❌ login 失败"; exit 1; }
           echo "✅ login OK"
diff --git a/docs/three-env-code-promote.md b/docs/three-env-code-promote.md
index c670e9c7..b58b012d 100644
--- a/docs/three-env-code-promote.md
+++ b/docs/three-env-code-promote.md
@@ -256,6 +256,7 @@ CI `enforce-label` 强制：本次 push 的 commit 必须带 `[vps]`（VPS 运
 查 VPS 未部署：`git log vps-deployed..HEAD --grep='\[vps\]'`（版本真相=移动 tag `vps-deployed`）。
 
 > **CI pytest 门禁范围（2026-10-01 扩至 8 目录）**：`tests/data_platform+portfolio+factor+api`（原四）+ `tests/trader+backtest+data+orchestrator`（10-01 架构审计 P0-5 补入——撮合/涨跌停/软限/持仓账本/shadow 等钱相关测试进强制门禁，本地实测 339 绿 7.6s）。门禁口径唯一维护处=`ci-cd.yml` 注释。
+> **CI 凭据纪律（2026-10-01 起）**：nas-verify 登录口令走 Gitea secret `NAS_API_PASSWORD`（${{ secrets.* }} 引用），**明文口令禁入 workflow/文档/git**；auth 种子=`config/backtest.yaml`（gitignore 本地文件，bcrypt hash+jwt_secret，经 promote 传播 NAS/VPS；轮换流程=先更新 secret 再 push 种子，反序会断 nas-verify）。
 
 **判定钥匙**：维度是「VPS 运行时是否触发」，**不是**「文件改了没」。