diff --git a/playbook-system.yml b/playbook-system.yml
index 9434458..cb3283c 100644
--- a/playbook-system.yml
+++ b/playbook-system.yml
@@ -27,8 +27,13 @@
       ansible.builtin.import_role:
         name: geerlingguy.security
       vars:
-        security_ssh_permit_root_login: "yes"
-        security_autoupdate_enabled: "no"
+        # Root по SSH не нужен: ansible ходит под непривилегированным major с
+        # become. Заодно defense-in-depth — если PasswordAuthentication когда-то
+        # вернётся в "yes", root не откроется по паролю.
+        security_ssh_permit_root_login: "no"
+        # unattended-upgrades: шаблон роли ограничен security-репозиториями,
+        # автоматическая перезагрузка выключена дефолтом роли.
+        security_autoupdate_enabled: true
         security_fail2ban_enabled: true
 
     - name: "Copy keep files script"