diff --git a/DEPLOY.md b/DEPLOY.md
index 12a283f..60b6588 100644
--- a/DEPLOY.md
+++ b/DEPLOY.md
@@ -1069,6 +1069,27 @@ docker compose logs --tail=20
 > diff .env.example .env
 > ```
 
+### Actualización especial: migración de credenciales a vault v3 (v0.4.0+)
+
+Si el servidor tenía abogados registrados **antes de la versión v0.4.0**, sus credenciales en la DB
+están en formato v1 (cifrado simple). Hay que migrarlas a v3 (PBKDF2 + envelope encryption) **una sola vez**.
+
+Hacerlo después del `git pull` y **antes** del `docker compose up -d`:
+
+```bash
+# Dentro del contenedor (o con uv si no usás Docker):
+docker compose run --rm pedrito uv run python scripts/migrar_vault_v3.py --dry-run
+# Verificar que lista los tenants esperados, luego migrar de verdad:
+docker compose run --rm pedrito uv run python scripts/migrar_vault_v3.py
+```
+
+El script:
+- Verifica que puede descifrar todos los tenants antes de tocar la DB
+- Hace backup automático de la DB (`data/pasante.db.bak`)
+- Si algo falla, no escribe nada — la DB original queda intacta
+
+Si todos los tenants registrados son nuevos (post v0.4.0), este paso no es necesario.
+
 ---
 
 ## 19. Troubleshooting