diff --git a/doc/etap-002-ssh-gitea.md b/doc/etap-002-ssh-gitea.md
new file mode 100644
index 0000000..c91f1c6
--- /dev/null
+++ b/doc/etap-002-ssh-gitea.md
@@ -0,0 +1,20 @@
+# Etap 002: SSH flow dla `gitea.mpabi.pl`
+
+Cel etapu: przejść z push przez HTTPS/token na standardowy push przez SSH do `trade/trade-iac`.
+
+## Zakres
+
+1. Wygenerować dedykowany klucz SSH dla Gitei (jeśli brak).
+2. Dodać konfigurację hosta `gitea.mpabi.pl` w `~/.ssh/config`.
+3. Dodać klucz publiczny do konta `u1` w Gitei.
+4. Ustawić `origin` repo `trade-iac` na URL SSH.
+5. Zweryfikować:
+   - `ssh -T git@gitea.mpabi.pl`,
+   - `git ls-remote origin`,
+   - `git push` bez hasła/tokena HTTP.
+
+## Kryteria akceptacji
+
+- SSH auth do Gitei działa dla użytkownika `git`.
+- `trade-iac` używa `git@gitea.mpabi.pl:trade/trade-iac.git`.
+- Push działa przez SSH.