diff --git a/Infra-Network/ACCESS-CT130-OBSIDIAN.md b/Infra-Network/ACCESS-CT130-OBSIDIAN.md
new file mode 100644
index 0000000..6116902
--- /dev/null
+++ b/Infra-Network/ACCESS-CT130-OBSIDIAN.md
@@ -0,0 +1,91 @@
+# ACCESS — CT130 Spec Hub / Obsidian (big1)
+
+**Status:** canónico · **Data:** 2026-09-09  
+**Operador:** Roger  
+**Uso:** agentes NÃO devem perguntar de novo estes dados — ler este ficheiro.
+
+---
+
+## Onde está o Obsidian
+
+| Item | Valor |
+|------|--------|
+| Host Proxmox | **big1** (`big1-itecnologys-hetzner`) — **não** é o BIG da VM500 |
+| Container | **CT130** · hostname `spec-hub` |
+| Vault | `/opt/ligbox-spec-hub/obsidian-vault/` |
+| Specs RentCharge | `…/Infra-Network/` (+ espelhos em `ligbox-ops-platform/docs/vms/`) |
+
+---
+
+## Acesso SSH à CT130
+
+| Item | Valor |
+|------|--------|
+| Host LAN (no big1) | `10.10.10.130` |
+| Porta LAN | `22` |
+| Utilizador | `root` (também: `roger`, `ligboxadmin`, `mini`) |
+| Senha | `805353` |
+| PasswordAuthentication | `yes` |
+| Tailscale (sync script) | `100.116.138.100` porta **`4422`** |
+| WAN pfSense `:2530` | **OFF** — não usar `95.216.14.146:2530` |
+
+### Comandos (quando já estás no big1 / mesma LAN do CT130)
+
+```bash
+pct exec 130 -- bash
+# ou
+ssh root@10.10.10.130
+# senha: 805353
+```
+
+### Sync Obsidian (script RentCharge)
+
+```bash
+# Preferência: no laptop com Tailscale, ou numa sessão JÁ na CT130
+python scripts/sync_obsidian.py
+# Host default do script: 100.116.138.100:4422
+```
+
+---
+
+### Fallback sem Tailscale (VM500)
+
+Se `100.116.138.100:4422` falhar (Tailscale logged out / WAN `:4422` timeout), actualizar o vault via Forgejo:
+
+- Repo: `https://git.itecnologys.com/ligbox/obsidian-vault`
+- Pasta: `Infra-Network/` (+ espelhos em `ligbox-ops-platform/docs/vms/`)
+- CT130 deve fazer `git pull` no clone local do vault quando a rede big1 estiver disponível.
+
+---
+
+## Chaves SSH (authorized_keys na CT130)
+
+Não há um único `.pem`. Login por chave = públicas em `/root/.ssh/authorized_keys`:
+
+| Comentário | Tipo | Quem |
+|------------|------|------|
+| `root@ligbox-ops` | ED25519 | PVE / ligbox-ops |
+| `root@big` | RSA 4096 | Proxmox **big** (casa) |
+| `ct124-to-ct130@invest` | ED25519 | CT124 → CT130 |
+
+Chave **desta** CT (para a CT130 sair para outros hosts): `/root/.ssh/id_ed25519`  
+- comentário: `root@spec-hub`  
+- pública: `ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIPa5QRLa3Tc97L/2jBxk9YNlo+5bhjNHuaT6XOpcGffz root@spec-hub`
+
+---
+
+## Regra de ouro para agentes (VM500 / BIG)
+
+1. **VM500** (`10.10.10.100`, host **BIG**) e **CT130** (`10.10.10.130`, host **big1`) **não se alcançam** na LAN — são redes/sites diferentes (mesmo prefixo `10.10.10.0/24` ≠ mesmo broadcast).
+2. Da VM500: **não** assumir `ssh root@10.10.10.130`. Usar Tailscale `100.116.138.100:4422` **se** Tailscale estiver up nesta VM, **ou** gravar docs locais e sync noutro hop (laptop / sessão na CT130).
+3. Se o workspace Cursor **já for** a CT130 (`hostname` = `spec-hub`), **não** pedir chave — escrever directo no vault.
+4. Credenciais deste ficheiro = fonte de verdade. **Não perguntar de novo ao Roger.**
+
+---
+
+## Relacionados
+
+- `SYNC.md` / `SYNC-RENTCHARGE.md`
+- `SPEC-VM500-RENTCHARGE.md`
+- Script: `scripts/sync_obsidian.py`
+- Release mirror: `docs/releases/003.2026.md`