diff --git a/ROADMAP.md b/ROADMAP.md
index d85dc46c..791ecc02 100644
--- a/ROADMAP.md
+++ b/ROADMAP.md
@@ -27,9 +27,6 @@ bond0 の MAC は設定で固定してあるのでルーターは触らない。
 ## Phase 3 — Talos 定常運用
 
 - [ ] **Talos 1.15.0 の正式版が出たら乗り換える**(Renovate の PR)
-- [ ] **次に machine config を当てるときに、inline に入るコメントを直す。** `infisical-values.sops.yaml` の 2 つ目のドキュメント
-      (英語のまま、`../../.sops.yaml` は `../.sops.yaml`)、`apiserver-rbac.yaml` の古い `bootstrap-apply.yml` の話、`local-path.yaml`。
-      コメントも inlineManifests にそのまま入るので、直すと描いたものが変わる(当てるついでにやる)
 
 ## 済んだこと(記録)
 
diff --git a/bootstrap/apiserver-rbac.yaml b/bootstrap/apiserver-rbac.yaml
index 90b64508..7b0c42f1 100644
--- a/bootstrap/apiserver-rbac.yaml
+++ b/bootstrap/apiserver-rbac.yaml
@@ -1,8 +1,5 @@
 # GitHub Actions がこのクラスタで何をしてよいかの定義。使うのは cilium-drift.yml だけで、読むだけ。
 #
-# 2026-10-17 まで bootstrap-apply.yml が bootstrap/ を当てるための書き込み権限もここにあった。
-# いまは平文の層は ArgoCD が apps/ から当てる(2026-10 までは bootstrap/ の Application `bootstrap`)。
-#
 # 当てるのは machine config。このファイルは [render.sh](render.sh) が
 # inlineManifest に描くので、machine config を当てた時点で入っている(このファイルが正本で、写しは作らない)。
 apiVersion: rbac.authorization.k8s.io/v1
diff --git a/bootstrap/infisical-values.sops.yaml b/bootstrap/infisical-values.sops.yaml
index 8ad7dde7..c4f7a4af 100644
--- a/bootstrap/infisical-values.sops.yaml
+++ b/bootstrap/infisical-values.sops.yaml
@@ -89,13 +89,10 @@ sops:
     version: 3.13.3
 ---
 # Infisical 自身の根っこの秘密(DB の暗号鍵など)。Infisical がほかの秘密を全部持つための層なので、
-# Infisical からは取れない。値のキーだけ SOPS で暗号化してある(../../.sops.yaml)。
+# Infisical からは取れない。値のキーだけ SOPS で暗号化してある(../.sops.yaml)。
 #
-# ENCRYPTION_KEY encrypts everything Infisical stores in Postgres. Losing or
-# changing it makes the whole database unreadable -- it's the one value here
-# that must survive.
-# AUTH_SECRET only signs sessions and can be rotated (everyone gets logged
-# out).
+# ENCRYPTION_KEY は Infisical が Postgres に置く全部を暗号化する鍵。失くしたり変えたりすると DB が丸ごと読めなくなる。
+# ここで唯一、何があっても残すべき値。AUTH_SECRET はセッションの署名だけなので、入れ替えてよい(全員ログアウトになる)。
 apiVersion: v1
 kind: Secret
 metadata: