diff --git a/.gitignore b/.gitignore
index c240e63..42d916a 100644
--- a/.gitignore
+++ b/.gitignore
@@ -1,5 +1,9 @@
 # 工作空间 .gitignore
 
+# ⚠️ 私钥/敏感文件（严禁入库）
+/CentOS.pem
+~/.ssh/xpcool_ed25519*
+
 # 日志与系统临时
 *.log
 .DS_Store
diff --git a/.workbuddy/memory/2026-09-04.md b/.workbuddy/memory/2026-09-04.md
index dcdfc55..0fddf36 100644
--- a/.workbuddy/memory/2026-09-04.md
+++ b/.workbuddy/memory/2026-09-04.md
@@ -4,3 +4,4 @@
 - 00:17 | Q&A | 下载慢诊断：3M 带宽实为瓶颈。方法=nginx 临时加 `location = /speedtest.bin` alias 直出 50MB 测试文件（fallocate 生成），本机 curl 15s 采样实测 **377KB/s ≈ 2.95Mbps**（已达 3M 上限 ~98%），确认服务端无 limit_rate/无瓶颈，纯带宽限制。94MB 文件需 ~4.3 分钟。测后已还原 conf、删测试文件。提速选项待用户决策：升带宽 / 改按流量计费 / 对象存储+CDN。**坑**：本机 Windows 原生 curl 不支持 `-o /dev/null`（报 23），需写临时文件；本地代理 127.0.0.1:65195 已失效（10061），测速用 `--noproxy '*'` 直连。
 - 00:33 | FIX | **升级带宽触发实例重启 → SSH 22025 失联**（80/443 正常）。根因：腾讯云改带宽（切计费模式）需关机重启，重启后 firewalld 自定义端口规则丢失（疑似当时未 --permanent）。用户网页终端修复（启 sshd/补放行）后恢复；`uptime up 9 min` 印证重启。**教训：firewalld 放行务必 --permanent；云上实例冷重启后需复查 22025 防火墙规则**。全部容器 restart unless-stopped 自动恢复。
 - 00:35 | CHG | 带宽升级 **3M→5M 实测确认**：同法实测 **619KB/s ≈ 4.84Mbps**（5M 上限 94.5% 利用率，满速）。94MB 文件下载 ~2 分 39 秒（原 4 分 20 秒）。测试已还原（conf 无 speedtest 残留、share 仅两个正式 exe、站点 200）。
+- 00:47 | SEC | **安全事件（用户选择暂缓处理，留待跟进）**：`CentOS.pem`（服务器 SSH 私钥，xxcool@193.112.118.168:22025，sudo 免密≈root）被用户提交进 git 并 push 到 **私有** Gitea 仓库（commit `8412009`，message 写"删除私钥"但实际 diff=添加 pem +27 行 + 删除 .gitignore 的 /CentOS.pem 忽略行，操作方向反了）。已确认：远程 main=8412009、本地 CentOS.pem 已被 git 跟踪。风险：私有仓库内成员/跨设备 clone 可取得私钥，git 历史永久留存。**待办（用户同意后执行）**：① 生成新 SSH 密钥部署到服务器并移除旧公钥（根本止血，需用户知情：换后旧 pem 失效）；② 重写 Gitea 历史抹掉私钥（需 Gitea 开 force push）+ 恢复 .gitignore。提醒：CentOS.pem 已跟踪，勿改动其内容后提交。