LinkTap hovedhane: omdøb entities, dashboard-kort og automatik (åbn før zoner, luk efter, periodisk kapillærvanding)

dokumenter/TODO.md

@@ -46,3 +46,16 @@
 
 ## Gitea External HTTPS Access
 - [x] **gitea.anneclaus.dk via NPM** — CNAME oprettet hos One.com, NPM proxy host med Let's Encrypt + Force SSL, `.env.infrastructure` opdateret, container genstartet. HTTPS 200 OK (20. maj 2026).
+
+
+## Hemmeligheder i 1Password (Mulighed A)
+**Baggrund:** `secrets.yaml` indeholder brugernavne, tokens m.m. i fritekst. Home Assistant kræver plaintext på disk ved indlæsning, men kilden kan flyttes til 1Password så hemmeligheder fjernes fra git-historik.
+
+**Mulighed A — Generér `secrets.yaml` fra 1Password ved deploy:**
+1. Log selv ind i 1Password CLI: `op signin` (gøres manuelt — ingen master-password deles)
+2. Opret `secrets.yaml.tpl` med `op://`-referencer i stedet for værdier, fx `tesla_token: "op://HomeAssistant/Tesla/credential"`
+3. Generér den rigtige fil ved deploy: `op inject -i secrets.yaml.tpl -o secrets.yaml`
+4. Tilføj `secrets.yaml` til `.gitignore` og commit kun `secrets.yaml.tpl` (med `op://`-referencer, ingen rigtige værdier)
+5. Evt. lille deploy-script der kører `op inject` automatisk
+
+**Reel gevinst:** Fjerner hemmeligheder fra git, ikke fra disken (HA kræver plaintext på disk uanset).