docs: add mandatory secret-handling rule to steering documents

Secrets must never be displayed in the conversation — communicate only
their storage location; mask values when reading configs; verify auth
via status codes instead of echoing credentials.

.agent/AGENTS.md

@@ -55,6 +55,7 @@ A `.agent/steering/` mappában YAML frontmatterrel ellátott automatikusan betö
 ### 3.4 Biztonság
 
 - Soha ne commitolj secrets-t, API key-eket, jelszavakat
+- **Soha ne jeleníts meg titkot a beszélgetésben** — generálás után csak a tárolási helyét kommunikáld (részletek: `.agent/steering/development-rules.md` → Titokkezelés)
 - Minden user input legyen validálva és sanitálva
 - HTTPS mindenhol, HTTP redirect mindenhol
 

.agent/steering/development-rules.md

@@ -80,6 +80,19 @@ git commit -m "fix(<scope>): <mi volt a hiba és hogyan lett javítva>"
 - **Technikai dokumentáció**: Magyar (weboldal szövegek, docs/, TODO.md)
 - **Kommunikáció a felhasználóval**: Magyar
 
+## Titokkezelés (KÖTELEZŐ)
+
+> **SOHA ne jeleníts meg titkot a beszélgetésben.** Ez alól nincs kivétel — akkor sem, ha a felhasználó kéri, és akkor sem, ha te generáltad a titkot.
+
+- **Jelszavak, API kulcsok, tokenek, kulcsfájlok tartalma** soha nem kerülnek kiírásra a válaszban, összegzésben, táblázatban vagy bármilyen kimenetben.
+- **Titok generálásakor**: a titkot csak a végleges helyén hozd létre (pl. env fájl, secret manager), és a felhasználónak csak azt kommunikáld, hogy **hol** található (fájl elérési út, szolgáltatás neve), sosem magát az értéket.
+  - ✅ Helyes: „Az új kulcs a `/etc/mozdit-content-editor.env` fájlban van (root:600)."
+  - ❌ Rossz: „Az új kulcs: `16a665...`"
+- **Meglévő titok olvasásakor** (env fájl, konfig): a kimenetet maszkold (`CMS_PASS=***`), és csak a létezést/permiszziót ellenőrizd.
+- **Tesztelésnél**: a hitelesítést válaszkóddal igazold (401/200), a titkos értéket nem kell és nem is szabad kiírni.
+- **Commit, log, dokumentáció**: titok soha nem kerül be — ellenőrizd a diff-et commit előtt.
+- Ha egy titok mégis kikerült a beszélgetésbe: jelezd a felhasználónak, hogy a titkot **cserélni kell**, és generálj helyette újat (a fenti szabályok szerint).
+
 ## Async konvenciók
 
 - Kerüld a callback-hellt.