Clé hermes@tower déclarée en authorizedKeys : sur hermes lui-même (accès aux hôtes qui importent services/hermes), en root déclaratif sur anywhere (le bloc était commenté), et compte système hermes complet + sudo NOPASSWD nixos-rebuild sur deck (qui n'importe pas services/hermes).