diff --git a/README.md b/README.md
index 91d627a..246b58f 100644
--- a/README.md
+++ b/README.md
@@ -150,7 +150,7 @@ Après une mise à jour de RTG : `./admin.sh stop`, puis `./admin.sh`.
 - **Traefik seul**, sans nginx : [`exemples/traefik-rtg-admin.yml`](exemples/traefik-rtg-admin.yml).
 - **Autre machine du réseau** : `rtg interface --distant` (mot de passe obligatoire), de préférence en HTTPS (`--certificat`, `--cle`) ou par un tunnel SSH (`ssh -L 8765:127.0.0.1:8765 serveur`, puis l'adresse avec la clé affichée sur le serveur).
 
-Le dossier du site étant publié tel quel, les `.toml` (chemins de vos disques) sont lisibles en ligne si le serveur web ne les refuse pas : la règle `location ~ \.toml$ { deny all; }` de l'exemple nginx s'en charge (Apache : `<FilesMatch "\.toml$"> Require all denied </FilesMatch>`).
+Le dossier du site étant publié tel quel, les `.toml` (chemins de vos disques) sont lisibles en ligne si le serveur web ne les refuse pas : la règle `location ~ \.toml$ { deny all; }` de l'exemple nginx s'en charge (Apache : `<FilesMatch "\.toml$"> Require all denied </FilesMatch>`). De même pour les fichiers cachés, dont `.git` si le site est sous git : règle `location ~ /\. { deny all; }`.
 
 ## Commandes
 
diff --git a/exemples/nginx-admin.conf b/exemples/nginx-admin.conf
index da97dfa..7caeed7 100644
--- a/exemples/nginx-admin.conf
+++ b/exemples/nginx-admin.conf
@@ -29,3 +29,5 @@
 
     # Réglages de RTG : inutile de les publier.
     location ~ \.toml$ { deny all; }
+    # Fichiers cachés (.git, .gitignore, .DS_Store) : jamais publiés.
+    location ~ /\. { deny all; }