diff --git a/README.md b/README.md
index 646f9b0..e1eed87 100644
--- a/README.md
+++ b/README.md
@@ -15,8 +15,10 @@ ClonePack est un système de clonage et de gel d'artefacts. Il permet de synchro
 - Scan régulier des sources pour détecter les nouveaux paquets
 - Validation manuelle ou automatique des mises à jour
 - Blocklist permanente par paquet (toutes versions)
-- Snapshots avec diff et rollback (RPM)
+- Snapshots avec diff et rollback (RPM + APT)
 - Proxy miroir HTTP accessible par ID ou par nom de dépôt
+- Logging structuré configurable (niveaux + format JSON)
+- Accès API restreint à localhost (extensible vers RBAC token)
 
 ---
 
@@ -53,6 +55,10 @@ data_dir: ./data
 
 sync:
   interval: 1h
+
+log:
+  level: info    # debug | info | warn | error
+  format: text   # text | json
 ```
 
 **Variables d'environnement :**
@@ -61,6 +67,8 @@ CLONEPACK_SERVER_PORT=9090
 CLONEPACK_DB_PATH=/var/lib/clonepack/clonepack.db
 CLONEPACK_DATA_DIR=/var/lib/clonepack/data
 CLONEPACK_SYNC_INTERVAL=30m
+CLONEPACK_LOG_LEVEL=debug
+CLONEPACK_LOG_FORMAT=json
 ```
 
 **Démarrer le serveur :**
@@ -222,6 +230,16 @@ deb [trusted=yes] http://clonepack:8080/mirror/debian-bookworm bookworm main con
 
 ---
 
+## Sécurité
+
+L'API REST (`/api/v1/*`) est accessible à tous, mais **localhost** (`127.0.0.1` / `::1`) est une IP privilégiée — elle sera toujours autorisée sans token, y compris une fois le système d'authentification en place.
+
+Le proxy miroir (`/mirror/*`) est accessible sans restriction — c'est intentionnel pour permettre aux machines clientes (serveurs APT/YUM) d'accéder aux paquets.
+
+Chaque appel à l'API est identifié par une `Action` (`repos:read`, `sync:approve`, `snapshots:rollback`, etc.) et la ressource concernée (repo ID). Cette infrastructure est prête à accueillir un système RBAC par token sans modifier les handlers.
+
+---
+
 ## API REST
 
 | Méthode | Route | Action |