diff --git a/.gitignore b/.gitignore
index 5379e3f..5fe88cb 100644
--- a/.gitignore
+++ b/.gitignore
@@ -15,3 +15,6 @@ static/device_snapshots/
 
 # Config locale spécifique à cette machine
 .claude/
+
+# Mot de passe MongoDB (variables de docker-compose)
+.env
diff --git a/docker-compose.yml b/docker-compose.yml
index 160bf5e..54f1d6f 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -5,10 +5,12 @@ services:
     image: mongo:latest
     container_name: mongodb
     ports:
-      - "27017:27017"
+      # Seulement depuis la machine elle-même : les applications passent par le réseau Docker
+      - "127.0.0.1:27017:27017"
     environment:
       MONGO_INITDB_ROOT_USERNAME: root
-      MONGO_INITDB_ROOT_PASSWORD: example
+      # Mot de passe dans .env (MONGO_PASSWORD), hors du dépôt git
+      MONGO_INITDB_ROOT_PASSWORD: ${MONGO_PASSWORD:?MONGO_PASSWORD manquant dans .env}
     volumes:
       - mongodb_data:/data/db
     networks:
@@ -20,7 +22,7 @@ services:
     depends_on:
       - mongodb
     environment:
-      - MONGO_URI=mongodb://root:example@mongodb:27017/?authSource=admin
+      - MONGO_URI=mongodb://root:${MONGO_PASSWORD:?MONGO_PASSWORD manquant dans .env}@mongodb:27017/?authSource=admin
     networks:
       - app-network
     volumes: