diff --git a/security-analysis/policy.yml b/security-analysis/policy.yml
new file mode 100644
index 0000000..1e294b0
--- /dev/null
+++ b/security-analysis/policy.yml
@@ -0,0 +1,7 @@
+# Какие находки блокируют merge. Читает security.yml на каждом
+# скане; отсутствие файла — те же значения по умолчанию.
+security:
+  block_on:
+    - critical
+    - high
+  min_confidence: 0.7