diff --git a/run.sh b/run.sh
index aa4b5f7..9ffc805 100755
--- a/run.sh
+++ b/run.sh
@@ -321,9 +321,10 @@ if [ "$WEBAPP_FLAG" -eq 1 ]; then
     [ -n "$LIDAR_REMOTE_TOKEN" ] && WEBAPP_ENV+=(-e LIDAR_REMOTE_TOKEN="$LIDAR_REMOTE_TOKEN")
     [ -n "$LIDAR_API_TOKEN" ] && WEBAPP_ENV+=(-e LIDAR_API_TOKEN="$LIDAR_API_TOKEN")
     [ -n "${LIDAR_REGEN_CIDR:-}" ] && WEBAPP_ENV+=(-e LIDAR_REGEN_CIDR="$LIDAR_REGEN_CIDR")
-    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule si présente
+    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule
+    # si présente. LIDAR_MOUNT_SSH=0 pour ne PAS l'exposer au conteneur.
     WEBAPP_SSH=()
-    [ -d "${HOME}/.ssh" ] && WEBAPP_SSH+=(-v "${HOME}/.ssh:/home/lidar/.ssh:ro")
+    [ "${LIDAR_MOUNT_SSH:-1}" = "1" ] && [ -d "${HOME}/.ssh" ] && WEBAPP_SSH+=(-v "${HOME}/.ssh:/home/lidar/.ssh:ro")
     exec docker run --rm --init \
         --user 1000:1000 \
         -p "${WEBAPP_SERVE_PORT}:8973" \
diff --git a/serve-webapp.sh b/serve-webapp.sh
index affc223..acf63b2 100755
--- a/serve-webapp.sh
+++ b/serve-webapp.sh
@@ -97,9 +97,12 @@ cmd_start() {
         TLS_ARGS+=(-e LIDAR_SSL_CERTFILE=/app/tls/webapp.crt)
         TLS_ARGS+=(-e LIDAR_SSL_KEYFILE=/app/tls/webapp.key)
     fi
-    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule si présente
+    # Clé SSH du hôte (déploiement, git pull distant) : montée en lecture seule
+    # si présente. LIDAR_MOUNT_SSH=0 pour ne PAS l'exposer au conteneur
+    # (durcissement : la webapp sert des requêtes réseau, inutile d'y donner
+    # une clé privée si le git pull distant n'est pas utilisé).
     SSH_ARGS=()
-    if [ -d "${HOME}/.ssh" ]; then
+    if [ "${LIDAR_MOUNT_SSH:-1}" = "1" ] && [ -d "${HOME}/.ssh" ]; then
         SSH_ARGS+=(-v "${HOME}/.ssh:/home/lidar/.ssh:ro")
     fi
     docker rm -f "$CONTAINER" > /dev/null 2>&1 || true