diff --git a/README.md b/README.md
index 7b07292..d916328 100644
--- a/README.md
+++ b/README.md
@@ -66,6 +66,16 @@ docker compose -f docker-compose.demo.yml up -d --build   # même démo en conte
 docker compose up -d                   # production : données dans le volume /data
 ```
 
+Avant le premier `docker compose up`, créer la clé AES-256 des mots de passe en base
+(secret docker, à sauvegarder : sans elle, les mots de passe enregistrés sont perdus) :
+
+```sh
+mkdir -p secrets
+openssl rand -hex 32 > secrets/confsync_key    # 64 caractères hex (32 octets)
+chmod 600 secrets/confsync_key
+sudo chown 10001 secrets/confsync_key          # lisible par l'utilisateur du conteneur
+```
+
 Le mode démo démarre un primaire PVE 9.1, deux cibles avec des écarts (dont un mapping
 manquant, bloquant) et un cluster PVE 8 refusé. Comptes `admin`, `operateur` et `lecteur`,
 mot de passe `confsync-demo`.