diff --git a/.github/workflows/setup-check.yml b/.github/workflows/setup-check.yml
index ab788b7..6d88b97 100644
--- a/.github/workflows/setup-check.yml
+++ b/.github/workflows/setup-check.yml
@@ -1,4 +1,5 @@
-# setup/ (Tier 1 リアルタイム symlink・Tier 2 明示的スクリプト実行) の bats テストと
+# setup/ (Tier 1 リアルタイム symlink・Tier 2 明示的スクリプト実行) と
+# herdr/plugins/ (Herdr ローカルプラグイン) の bats テスト、および
 # Claude Code hook スクリプトの unit test 検証
 #
 # 目的:
@@ -10,7 +11,8 @@
 # - runs-on: macos-latest — テスト対象がすべて zsh script かつ macOS 前提 (defaults/pam 等)
 #   のため。bats-core は runner に無いため Homebrew で導入する。
 # - 全テストは stub 実行ファイル・サンドボックス HOME を使い、実際の defaults/pam/mise/
-#   claude/git/brew を一切呼ばない (setup/README.md 参照)。
+#   claude/herdr/brew を一切呼ばない (setup/README.md 参照)。git はサンドボックス内に
+#   作った使い捨てリポジトリに対してのみ実行する。
 #
 # セキュリティ:
 # - run: で github.event.* の自由文を一切評価しない (injection 対策)
@@ -20,6 +22,7 @@ on:
   pull_request:
     paths:
       - 'setup/**'
+      - 'herdr/**'
       - 'claude/hooks/**'
       - 'claude/settings.json'
       - '.github/workflows/setup-check.yml'
@@ -30,6 +33,7 @@ on:
       - main
     paths:
       - 'setup/**'
+      - 'herdr/**'
       - 'claude/hooks/**'
       - 'claude/settings.json'
       - '.github/workflows/setup-check.yml'
@@ -40,7 +44,7 @@ concurrency:
 
 jobs:
   bats:
-    name: setup/tests/*.bats + hook unit test
+    name: setup/tests + herdr plugin tests + hook unit test
     runs-on: macos-latest
     timeout-minutes: 10
     steps:
@@ -51,7 +55,7 @@ jobs:
         run: brew install bats-core
 
       - name: Run bats tests
-        run: bats setup/tests/*.bats
+        run: bats setup/tests/*.bats herdr/plugins/*/tests/*.bats
 
       # settings.json の PreToolUse hook が呼ぶ破壊的コマンド判定パーサ。
       # 標準ライブラリのみで動くので runner の python3 をそのまま使う。
diff --git a/.gitignore b/.gitignore
index f20d29b..9222b0b 100644
--- a/.gitignore
+++ b/.gitignore
@@ -4,3 +4,8 @@ nix/modules/darwin/homebrew.local.nix
 # 静的な seed は codex/config.base.toml に置き、~/.codex/config.toml は
 # アプリ所有の実体ファイルとして追跡しない (nix/modules/home/codex.nix 参照)。
 .codex/config.toml
+
+# Herdr プラグインのマシンローカル allowlist。本来は Herdr のプラグイン設定ディレクトリ
+# (~/.config/herdr/plugins/config/<id>/repos.local.json) に置くものだが、リポジトリ内に
+# 誤って作られた場合の保険。非公開リポジトリの origin URL を含みうるため追跡しない。
+herdr/plugins/*/config/repos.local.json
diff --git a/AGENTS.md b/AGENTS.md
index 785947c..cae3a78 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -5,7 +5,7 @@
 - `CONTEXT.md` — AI エージェント指示の層（規範フラグメント・グローバル / プロジェクト AGENTS.md・SOUL.md・CLAUDE.local.md・channel prompt）を区別する用語集
 - `aliases` — alias 定義の SSOT（root 直下、`~/.aliases` にシンボリックリンク）。旧 `nix/modules/home/zsh.nix` の `shellAliases` から移行（`setup/link.zsh` が配置、Tier 1）
 - `scripts/` — 外部シェルスクリプト（`aliases` の alias から呼び出される。旧 `aliase/` から改名）
-- `setup/` — Tier 1（リアルタイム symlink）・Tier 2（明示的スクリプト実行）・Tier 3（カットオーバー・ロールバック）の実装。`darwin-rebuild switch` を使わず、`zsh setup/link.zsh` で dotfiles を配置し（Tier 1）、`setup/languages.zsh`（mise による言語ランタイム + corepack + バージョン固定 CLI）／`setup/defaults.zsh`（macOS defaults・IME）／`setup/pam.zsh`（Touch ID for sudo）／`setup/claude-sync.zsh`（skills clone・plugin sync・MCP merge）／`setup/codex-sync.zsh`（config.toml seed-if-absent）を個別実行する（Tier 2）。既存 PC を home-manager 込みの旧構成から移行する場合は `setup/cutover.zsh`（pre-flight build 確認 + `darwin-rebuild switch`）／`setup/rollback.zsh`（`.before-nix` 衝突検出付きロールバック）を使う（Tier 3）。**実機での実行は `setup/migrate.zsh` が唯一のエントリポイント**（`--dry-run`/`--apply`。Tier 1/2/3 を依存順（Phase 1: link → Phase 2: cutover/pam [root] → Phase 3: languages/defaults/claude-sync/codex-sync）で実行し、`~/.dotfiles-migrate/manifest.log` で部分適用を検出・再開する。fail-closed、rollback.zsh は自動では呼ばない）。個別スクリプトの直接実行はメンテナンス目的のみ。詳細は `setup/README.md` と `docs/superpowers/specs/2026-08-21-restore-script-management-inventory.md`・`docs/superpowers/specs/2026-08-22-restore-script-management-tier3-cutover-design.md`・`docs/superpowers/specs/2026-08-22-migrate-orchestrator-recovery-plan.md` を参照
+- `setup/` — Tier 1（リアルタイム symlink）・Tier 2（明示的スクリプト実行）・Tier 3（カットオーバー・ロールバック）の実装。`darwin-rebuild switch` を使わず、`zsh setup/link.zsh` で dotfiles を配置し（Tier 1）、`setup/languages.zsh`（mise による言語ランタイム + corepack + バージョン固定 CLI）／`setup/defaults.zsh`（macOS defaults・IME）／`setup/pam.zsh`（Touch ID for sudo）／`setup/claude-sync.zsh`（skills clone・plugin sync・MCP merge）／`setup/codex-sync.zsh`（config.toml seed-if-absent）／`setup/herdr-sync.zsh`（Herdr ローカルプラグインの link・allowlist 配置）を個別実行する（Tier 2）。既存 PC を home-manager 込みの旧構成から移行する場合は `setup/cutover.zsh`（pre-flight build 確認 + `darwin-rebuild switch`）／`setup/rollback.zsh`（`.before-nix` 衝突検出付きロールバック）を使う（Tier 3）。**実機での実行は `setup/migrate.zsh` が唯一のエントリポイント**（`--dry-run`/`--apply`。Tier 1/2/3 を依存順（Phase 1: link → Phase 2: cutover/pam [root] → Phase 3: languages/defaults/claude-sync/codex-sync/herdr-sync）で実行し、`~/.dotfiles-migrate/manifest.log` で部分適用を検出・再開する。fail-closed、rollback.zsh は自動では呼ばない）。個別スクリプトの直接実行はメンテナンス目的のみ。詳細は `setup/README.md` と `docs/superpowers/specs/2026-08-21-restore-script-management-inventory.md`・`docs/superpowers/specs/2026-08-22-restore-script-management-tier3-cutover-design.md`・`docs/superpowers/specs/2026-08-22-migrate-orchestrator-recovery-plan.md` を参照
 - `claude/` — Claude Code 設定（`~/.claude/` にシンボリックリンク）
 - `claude/rules/` — 全 AI エージェント向けグローバル指示のフラグメント（SSOT）。`core` / `worker` / `orchestrator` / `hermes-identity` の 4 ファイルを `scripts/build-agent-rules.zsh`（旧 `aliase/build-agent-rules.zsh`）が結合して生成物を作る
 - `claude/hermes/SOUL.md` — Hermes Agent 用グローバル指示の生成物（`~/.hermes/SOUL.md` にシンボリックリンク）。直接編集しない
@@ -21,6 +21,7 @@
 - `.gitignore` — リポジトリ内に偶発的に作られたローカル overlay ファイル（例: `nix/modules/darwin/homebrew.local.nix`）を保険的に除外する
 - `gitignore_global` — グローバル gitignore（`~/.gitignore_global` にシンボリックリンク）
 - `grip/` — grip 設定（`~/.grip/` にシンボリックリンク）
+- `herdr/` — Herdr のローカルプラグイン置き場。`herdr/plugins/safe-worktree/` は allowlist 済みリポジトリでリモート既定ブランチの最新 SHA を base に linked worktree を作り、`worktree.created` イベントで直接作成を監査する（削除・自動修復はしない）。`setup/herdr-sync.zsh`（Tier 2）が `herdr plugin link` で作業ツリーを直接登録し、allowlist の SSOT `config/repos.json` をプラグイン設定ディレクトリへシンボリックリンクする（非公開リポジトリは追跡しない `repos.local.json` 側に書く）。登録先パスがそのまま保存されるため、link と設定配置は primary チェックアウト（`~/.dotfiles`）から実行したときだけ行う（使い捨て worktree を登録すると削除時に壊れるため）。パス解決は `setup/lib/herdr.zsh` に集約し、`setup/migrate.zsh` の health check も同じ関数から引く。詳細は `herdr/plugins/safe-worktree/README.md`
 - `nix/` — nix-darwin + flakes による Homebrew パッケージ管理定義（`darwin-rebuild` から参照される。home-manager は Tier 3 で廃止済み、詳細は `nix/README.md`。`nix/lib/` は Brewfile 生成用の小さな Nix ヘルパー、`nix/tests/` は生成 Brewfile 側ロジックの bats テストで、`nix-check` workflow が実行する）
 - `ssh/` — SSH 設定（`~/.ssh/` にシンボリックリンク）
 - `zsh/` — zsh 補完ファイル（`~/.zsh/` にシンボリックリンク）
diff --git a/herdr/plugins/safe-worktree/README.md b/herdr/plugins/safe-worktree/README.md
new file mode 100644
index 0000000..de74f1e
--- /dev/null
+++ b/herdr/plugins/safe-worktree/README.md
@@ -0,0 +1,213 @@
+# safe-worktree
+
+Herdr のローカルプラグイン。allowlist に登録したリポジトリだけを対象に、
+**リモートから取り直した実 SHA** を base にして linked worktree を作る。
+
+## 何を防ぐか
+
+Herdr 標準の `herdr worktree create --base <ref>` は `<ref>` をローカルで解決する。
+
+```sh
+herdr worktree create --branch feat/x --base main   # ローカルの main（数日前かもしれない）
+herdr worktree create --branch feat/x --base HEAD   # 今チェックアウト中のコミット
+```
+
+どちらも成功して worktree ができるので、古い base で作ったことに気づくのは
+だいたい PR を出したあとになる。このプラグインは
+
+1. base をローカル ref のまま受け取らない（`HEAD` とローカルブランチ名は拒否）
+2. 既定ブランチは毎回 `git ls-remote --symref origin HEAD` で問い合わせる
+3. fetch してから SHA に解決し、その SHA を base として渡す
+4. 作成後に実際の HEAD と突き合わせてから成功を報告する
+
+の 4 点で、この経路を塞ぐ。2 のおかげで、上流が既定ブランチを付け替えても
+（`v2` → `main` など）ローカルの設定を触らずに追従する。
+
+## 使い方
+
+### popup から（人間）
+
+`herdr plugin action invoke dotfiles.safe-worktree.create` か、
+`config.toml` にキーバインドを足して呼ぶ。
+
+```toml
+[[keys.command]]
+key = "prefix+W"
+type = "plugin_action"
+command = "dotfiles.safe-worktree.create"
+description = "safe worktree create"
+```
+
+popup が開いてブランチ名を尋ね、リポジトリ・base・SHA を表示してから確認を取る。
+
+### コマンドラインから（エージェント含む）
+
+```sh
+~/.dotfiles/herdr/plugins/safe-worktree/bin/create.zsh --repo dotfiles --branch feat/x
+```
+
+| 引数 | 意味 |
+| --- | --- |
+| `--repo <label\|path>` | 対象リポジトリ。allowlist の `label` か作業ツリーのパス。省略時は Herdr の呼び出しコンテキスト → カレントディレクトリの順で解決する |
+| `--branch <name>` | 作成するブランチ名。TTY があれば省略時に尋ねる |
+| `--base <ref>` | 省略時はリモートの既定ブランチ。明示するなら `origin/<branch>` か存在するコミット SHA のみ |
+| `--label <text>` | Herdr ワークスペースのラベル |
+| `--reuse` | ローカルにブランチが既にある場合、新規作成の代わりに `herdr worktree open` で開く |
+| `--yes` | 対話確認を省略する |
+| `--focus` / `--no-focus` | 作成したワークスペースにフォーカスを移すか（既定は `--no-focus`） |
+
+終了コード:
+
+| コード | 意味 |
+| --- | --- |
+| 0 | 成功 |
+| 1 | git / herdr の実行失敗、リモートへの問い合わせ不能、状態ディレクトリ・監査マーカーの書き込み失敗 |
+| 2 | 引数・設定ファイルの不備 |
+| 3 | origin URL が allowlist に無い |
+| 4 | base として受け付けない ref |
+| 5 | 既存ブランチでの新規作成要求（`--reuse` を促す） |
+| 6 | 作成結果の照合失敗 |
+
+## allowlist
+
+設定は Herdr のプラグイン設定ディレクトリ
+（`herdr plugin config-dir dotfiles.safe-worktree`）に置く。2 ファイルを結合して使う。
+
+| ファイル | 実体 | 用途 |
+| --- | --- | --- |
+| `repos.json` | dotfiles の `config/repos.json` への symlink | 公開リポジトリ。dotfiles で追跡する |
+| `repos.local.json` | マシンローカルの実ファイル | 非公開リポジトリ。追跡しない |
+
+配置は `setup/herdr-sync.zsh`（Tier 2）が行う。ただし `herdr plugin link` は渡された
+パスをそのまま登録先として保存するため、**primary チェックアウト（`~/.dotfiles`）から
+実行したときだけ** link と設定配置を行う。使い捨ての worktree を登録すると、その worktree を
+消した時点でプラグイン本体と allowlist の symlink が同時に壊れる。primary 以外から
+実行された場合は link も設定配置も両方まとめてスキップする（片方だけ実行すると、
+登録されているプラグインとは別の場所の allowlist を指す symlink が残る）。
+
+`repos.json` が無い場合、
+プラグインは「allowlist が空」ではなく「設定が壊れている」として fail-closed で停止する。
+
+```json
+{
+  "version": 1,
+  "defaults": { "remote": "origin" },
+  "repos": [
+    { "label": "dotfiles", "origin": "https://github.com/gotomts/dotfiles.git", "root": "~/.dotfiles" }
+  ]
+}
+```
+
+`origin` の突き合わせは scheme・userinfo・port・末尾の `.git` を無視した
+`ホスト/パス` で行う。ssh 経由と https 経由で同じリポジトリを別物として扱わないため。
+どちらかの URL が正規化できない場合は「不一致」として扱う（正規化に失敗した空文字列同士が
+一致して allowlist をすり抜けるのを防ぐ）。
+`root` は `--repo <label>` で場所を指定するときにだけ使う（allowlist の判定には使わない）。
+
+**非公開リポジトリを `repos.json` に書かないこと。** このリポジトリは公開されており、
+非公開リポジトリ名がそのまま外部に出る。`repos.local.json` を使う。
+
+## 拒否する条件
+
+| 条件 | 終了コード | 理由 |
+| --- | --- | --- |
+| origin が allowlist に無い | 3 | 対象外のリポジトリで worktree を作らない |
+| base が `HEAD` / ローカルブランチ名 / 相対指定 | 4 | ローカルが古いまま作られる事故を防ぐ |
+| base のリモートが設定と違う / ブランチ名が不正 / SHA が存在しない | 4 | 解決できない base を herdr へ渡さない |
+| ローカルに同名ブランチがある | 5 | 新規作成ではない。`--reuse` で `open` に回す |
+| リモートに同名ブランチがある | 5 | base から作ると同名で別履歴が 2 つできる。`--reuse` でも拒否する |
+| リモートに問い合わせできない | 1 | 判定できないまま作らない |
+| 状態ディレクトリを作れない / 監査マーカーを書けない | 1 | 監査できない作成をしない（`herdr` を呼ぶ前に停止する） |
+| 設定 (`repos.json`) が置かれていない | 2 | allowlist が空なのか未配置なのか区別する |
+| 値を取るオプションに値が無い | 2 | 引数解析を止める |
+| 作成後の HEAD が渡した base と違う | 6 | 照合失敗。worktree は残したまま報告する |
+
+リモートのブランチ有無は `git ls-remote` で毎回問い合わせる。ローカルの
+`refs/remotes/<remote>/<branch>` を見ないのは、それ自体が古くなりうるため
+（「fetch していないので気づかなかった」がこの plugin の防御対象そのもの）。
+問い合わせ自体が失敗した場合は「存在しない」と読み替えず、判定不能として停止する
+（ネットワーク障害のたびにリモートの同名ブランチを見落とすなら、この確認に意味が無い）。
+
+## linked worktree からの呼び出し
+
+`--repo` に linked worktree を渡しても、メイン作業ツリー
+（`git worktree list --porcelain` の先頭）へ正規化してから herdr に渡す。理由は 2 つ:
+
+1. Herdr の `worktree create` / `open` は linked worktree からの実行を
+   `linked_worktree_source` エラーで拒否する
+2. `worktree.created` イベントの `repo_root` は常にメイン作業ツリーを指すため、
+   作成側が揃えないと監査マーカーのキーが一致せず、plugin 経由の作成が
+   「直接作成」として誤検出される
+
+## 監査（worktree.created）
+
+Herdr の TUI キーバインドや素の `herdr worktree create` はこのプラグインを通らない。
+`worktree.created` イベントフックが、そうした作成も含めて全件を
+`${HERDR_PLUGIN_STATE_DIR}/audit.jsonl` に記録する。
+
+| verdict | 意味 |
+| --- | --- |
+| `plugin_ok` | このプラグイン経由。HEAD が渡した base と一致 |
+| `plugin_sha_mismatch` | このプラグイン経由だが HEAD が base と違う |
+| `direct_create_at_known_tip` | 直接作成。base は既知の `origin/HEAD` と一致 |
+| `direct_create_stale_base` | 直接作成。base が既知の `origin/HEAD` より古い |
+| `direct_create_unexpected_base` | 直接作成。base が既知の `origin/HEAD` の履歴上にない |
+| `direct_create_unverified` | 直接作成。`origin/HEAD` が未取得で判定できない |
+
+`plugin_ok` 以外かつ allowlist 対象のリポジトリなら Herdr の通知も出す。
+
+`herdr worktree open` は `worktree.created` を発火しない（herdr 0.8.2 で実機確認済み）。
+そのため `--reuse` は監査ログにも通知にも現れない。
+
+### 作成マーカー
+
+`create.zsh` は作成直前に `${HERDR_PLUGIN_STATE_DIR}/pending/` へ期待値を書き、
+イベントフックがそれを消費する。マーカーは `SWT_PENDING_TTL_SECONDS`（既定 120 秒）を
+過ぎると無効になり、作成側とフックの両方が期限切れを掃除する。
+時間切れのマーカーを信用すると、あとから同じリポジトリ・同じブランチ名で「直接」
+作られた worktree が plugin 経由として承認されてしまうため、期限切れは一切信用しない。
+
+マーカーの後始末は「worktree が作られていないと言い切れるか」で分ける。
+
+| 失敗の種類 | 後始末 |
+| --- | --- |
+| herdr を呼ぶ前に落ちた | 即削除（作られていない） |
+| herdr が JSON のエラーを返した | 即削除（要求が拒否されただけで作られていない） |
+| それ以外の失敗・応答の解釈失敗 | TTL に任せる（作られたか分からない） |
+
+最後の行で消しに行かないのは、`worktree.created` が create の応答より先に飛びうるため。
+失敗と判断した側が消すと、フックが正当なマーカーを読む前に奪う競合になる。
+
+マーカーを書けない場合は、`herdr` を呼ぶ前に exit 1 で停止する。監査できない作成を
+黙って通すと「plugin 経由なのに直接作成として鳴る」誤検知になり、通知が信用されなくなる。
+
+逆にイベントフック側は、状態ディレクトリを用意できなければ何も書かずに静かに終わる。
+Herdr の worktree 作成自体は成功しているので、監査できないことを理由に利用者の操作を
+止める筋合いはない（作成を止めるのは作成側の役目）。
+
+### ログの大きさ
+
+`audit.jsonl` が `SWT_AUDIT_MAX_BYTES`（既定 1 MiB）を超えたら `audit.jsonl.1` へ
+1 世代だけ退避する。切り替えは `mkdir` のアトミック性でロックし、ロックが取れなければ
+その回は見送る。追記自体はロックしない（1 行が `PIPE_BUF` より十分短く、`O_APPEND` の
+単一 `write` はアトミックなため）。
+
+判定はローカルに既知の `refs/remotes/<remote>/HEAD` に対して行う。イベントフックは
+worktree 作成直後に走るため、ここでネットワーク I/O をして待たせない。
+つまり「最後に fetch した時点のリモート像」に対する判定であって、リモートの現在値
+そのものではない。
+
+**このフックは監査だけを行う。** worktree の削除・base の付け替え・ブランチの作り直しは
+一切しない。自動修復は「気づかないうちに作業が消える」側に倒れるため、意図的に持たない。
+
+## 依存
+
+zsh / git / jq / herdr。いずれも `nix/modules/darwin/homebrew.nix` で宣言済み。
+
+## テスト
+
+```sh
+bats herdr/plugins/safe-worktree/tests/safe-worktree.bats
+```
+
+実際の herdr は呼ばない。worktree 作成はスタブが `git worktree add` に読み替える。
diff --git a/herdr/plugins/safe-worktree/bin/audit-created.zsh b/herdr/plugins/safe-worktree/bin/audit-created.zsh
new file mode 100755
index 0000000..0fa86b2
--- /dev/null
+++ b/herdr/plugins/safe-worktree/bin/audit-created.zsh
@@ -0,0 +1,160 @@
+#!/bin/zsh
+# herdr/plugins/safe-worktree/bin/audit-created.zsh
+#
+# worktree.created イベントフック。作成された worktree を「この plugin 経由か」
+# 「base は妥当か」の 2 軸で記録する。
+#
+# このスクリプトは監査だけを行う。worktree の削除・base の付け替え・ブランチの
+# 作り直しといった修復操作は一切しない。判断材料を残して人間に返すのが役目で、
+# 自動修復は「気づかないうちに作業が消える」事故の側に倒れるため意図的に持たない。
+#
+# base の妥当性判定はローカルに既知の refs/remotes/<remote>/HEAD を使う。
+# イベントフックは Herdr の worktree 作成直後に走るため、ここでネットワーク I/O を
+# して待たせない（= 判定は「最後に fetch した時点のリモート像」に対するもの）。
+
+set -u
+
+SWT_ROOT="${0:A:h:h}"
+source "${SWT_ROOT}/lib/common.zsh"
+
+event_json="${HERDR_PLUGIN_EVENT_JSON:-}"
+[[ -n "${event_json}" ]] || exit 0
+
+# 公式スキーマ上、worktree_created イベントの必須フィールドは type/workspace/worktree。
+# .data.worktree.path は WorktreeInfo の必須フィールドなので必ず取れる。
+# 一方 .data.workspace.worktree は WorkspaceInfo 上 nullable なので、repo_root は
+# 取れないことがある。その場合はチェックアウト先から自分でメイン作業ツリーを引く。
+checkout_path="$(printf '%s' "${event_json}" | jq -r '.data.worktree.path // empty')"
+branch="$(printf '%s' "${event_json}" | jq -r '.data.worktree.branch // empty')"
+workspace_id="$(printf '%s' "${event_json}" | jq -r '.data.workspace.workspace_id // empty')"
+repo_root="$(printf '%s' "${event_json}" | jq -r '.data.workspace.worktree.repo_root // empty')"
+
+[[ -n "${checkout_path}" ]] || exit 0
+if [[ -z "${repo_root}" ]]; then
+    repo_root="$(swt::main_worktree_root "${checkout_path}" 2>/dev/null || true)"
+fi
+[[ -n "${repo_root}" ]] || exit 0
+# 作成側 (create.zsh) と同じ正規形に揃える。ここがずれると pending マーカーのキーが
+# 一致せず、plugin 経由の作成が直接作成として誤検出される。
+repo_root="${repo_root:A}"
+
+# 状態ディレクトリが用意できなければ、記録先が無いので何もせず抜ける。
+# ここで戻り値を見ないと state_dir が空のまま "/audit.jsonl" を書きに行く。
+# イベントフックなので失敗を騒がず静かに終わる（Herdr の worktree 作成自体は
+# 成功しており、監査できないことを理由に利用者の操作を止める筋合いはない）。
+if ! state_dir="$(swt::ensure_state_dir)"; then
+    exit 0
+fi
+audit_log="${state_dir}/audit.jsonl"
+swt::rotate_audit_log "${audit_log}"
+
+head_sha="$(swt::resolve_commit "${checkout_path}" HEAD 2>/dev/null || true)"
+
+# ---------------------------------------------------------------------------
+# allowlist 上のリポジトリか（設定が読めない場合は「対象外」として静かに記録する）
+# ---------------------------------------------------------------------------
+allowlisted=false
+remote="origin"
+if allowlist="$(swt::load_allowlist 2>/dev/null)"; then
+    if matched="$(swt::match_repo "${allowlist}" "${repo_root}")"; then
+        allowlisted=true
+        remote="${matched%%$'\t'*}"
+    fi
+fi
+
+# ---------------------------------------------------------------------------
+# この plugin が置いたマーカーがあるか
+# ---------------------------------------------------------------------------
+# TTL 内のマーカーだけを信用する。期限切れのものは swt::pending_take が捨てる。
+# 古い残骸を承認してしまうと、あとから同じ repo + branch で直接作られた worktree が
+# plugin 経由として通ってしまう。
+via_plugin=false
+expected_sha=""
+base_desc=""
+if marker_json="$(swt::pending_take "${repo_root}" "${branch}")"; then
+    via_plugin=true
+    expected_sha="$(printf '%s' "${marker_json}" | jq -r '.base_sha // empty')"
+    base_desc="$(printf '%s' "${marker_json}" | jq -r '.base_desc // empty')"
+fi
+
+# ---------------------------------------------------------------------------
+# 判定
+# ---------------------------------------------------------------------------
+known_tip=""
+if [[ "${via_plugin}" == true ]]; then
+    if [[ -n "${expected_sha}" && "${head_sha}" == "${expected_sha}" ]]; then
+        verdict="plugin_ok"
+    else
+        verdict="plugin_sha_mismatch"
+    fi
+else
+    default_ref="$(git -C "${repo_root}" symbolic-ref --quiet "refs/remotes/${remote}/HEAD" 2>/dev/null || true)"
+    if [[ -z "${default_ref}" ]]; then
+        verdict="direct_create_unverified"
+    else
+        known_tip="$(swt::resolve_commit "${repo_root}" "${default_ref}" 2>/dev/null || true)"
+        base_desc="${default_ref#refs/remotes/}"
+        if [[ -z "${known_tip}" || -z "${head_sha}" ]]; then
+            verdict="direct_create_unverified"
+        elif [[ "${head_sha}" == "${known_tip}" ]]; then
+            verdict="direct_create_at_known_tip"
+        elif git -C "${repo_root}" merge-base --is-ancestor "${head_sha}" "${known_tip}" 2>/dev/null; then
+            verdict="direct_create_stale_base"
+        else
+            verdict="direct_create_unexpected_base"
+        fi
+    fi
+fi
+
+jq -n -c \
+    --arg at "$(date -u +%FT%TZ)" \
+    --arg verdict "${verdict}" \
+    --argjson via_plugin "${via_plugin}" \
+    --argjson allowlisted "${allowlisted}" \
+    --arg repo_root "${repo_root}" \
+    --arg checkout_path "${checkout_path}" \
+    --arg branch "${branch}" \
+    --arg workspace_id "${workspace_id}" \
+    --arg remote "${remote}" \
+    --arg head_sha "${head_sha}" \
+    --arg expected_sha "${expected_sha}" \
+    --arg known_tip "${known_tip}" \
+    --arg base_desc "${base_desc}" \
+    '{at: $at, verdict: $verdict, via_plugin: $via_plugin, allowlisted: $allowlisted,
+      repo_root: $repo_root, checkout_path: $checkout_path, branch: $branch,
+      workspace_id: $workspace_id, remote: $remote, head_sha: $head_sha,
+      expected_sha: $expected_sha, known_tip: $known_tip, base_desc: $base_desc}' \
+    >> "${audit_log}"
+
+# ---------------------------------------------------------------------------
+# 通知
+#   allowlist 対象のリポジトリだけを通知する。管理対象外のリポジトリで worktree を
+#   作るたびに鳴らすと、通知そのものが読まれなくなるため。監査ログには全件残す。
+# ---------------------------------------------------------------------------
+[[ "${allowlisted}" == true ]] || exit 0
+[[ "${verdict}" == "plugin_ok" ]] && exit 0
+
+case "${verdict}" in
+    plugin_sha_mismatch)
+        title="worktree の base が期待と違います"
+        body="${branch}: 期待 ${expected_sha[1,12]} / 実際 ${head_sha[1,12]}"
+        ;;
+    direct_create_stale_base)
+        title="safe-worktree を経由しない worktree 作成"
+        body="${branch}: base が既知の ${base_desc} より古い（${head_sha[1,12]}）"
+        ;;
+    direct_create_unexpected_base)
+        title="safe-worktree を経由しない worktree 作成"
+        body="${branch}: base が既知の ${base_desc} の履歴上にない（${head_sha[1,12]}）"
+        ;;
+    direct_create_unverified)
+        title="safe-worktree を経由しない worktree 作成"
+        body="${branch}: base を検証できません（${remote}/HEAD が未取得）"
+        ;;
+    *)
+        title="safe-worktree を経由しない worktree 作成"
+        body="${branch}: base は既知の ${base_desc} と一致"
+        ;;
+esac
+
+"$(swt::herdr_bin)" notification show "${title}" --body "${body}" --sound none >/dev/null 2>&1 || true
diff --git a/herdr/plugins/safe-worktree/bin/create.zsh b/herdr/plugins/safe-worktree/bin/create.zsh
new file mode 100755
index 0000000..058ede1
--- /dev/null
+++ b/herdr/plugins/safe-worktree/bin/create.zsh
@@ -0,0 +1,374 @@
+#!/bin/zsh
+# herdr/plugins/safe-worktree/bin/create.zsh
+#
+# allowlist 済みリポジトリで、リモートの実 SHA を base に linked worktree を作る。
+#
+# Herdr 標準の `herdr worktree create --base <ref>` は ref をローカルで解決するため、
+# `--base main` はローカルの（古いかもしれない）main を、`--base HEAD` は現在の
+# チェックアウトを黙って使う。ここでは base を必ず「リモートから取得した直後の SHA」
+# に固定し、作成後に実際の HEAD と突き合わせてから成功を報告する。
+#
+# 使い方:
+#   create.zsh [--repo <label|path>] [--branch <name>] [--base <remote/branch|sha>]
+#              [--label <text>] [--reuse] [--yes] [--focus|--no-focus]
+#
+#   --repo    対象リポジトリ。設定の label か作業ツリーのパス。
+#             省略時は Herdr の呼び出しコンテキスト → カレントディレクトリの順で解決する。
+#   --branch  作成するブランチ名。省略時は対話で尋ねる（TTY が無ければエラー）。
+#   --base    省略時はリモートの既定ブランチ（毎回 ls-remote で解決するので v2 → main の
+#             付け替えに自動追従する）。明示する場合は <remote>/<branch> か存在する SHA のみ。
+#   --reuse   ブランチが既にある場合に、新規作成の代わりに `herdr worktree open` で開く。
+#
+# 終了コード: lib/common.zsh の SWT_EXIT_* を参照
+
+set -u
+
+SWT_ROOT="${0:A:h:h}"
+source "${SWT_ROOT}/lib/common.zsh"
+
+# ---------------------------------------------------------------------------
+# 引数
+# ---------------------------------------------------------------------------
+repo_arg=""
+branch=""
+base_arg=""
+label=""
+reuse=0
+assume_yes=0
+focus_flag="--no-focus"
+
+# 値を取るオプションで値が無いまま `shift 2` すると、zsh は shift を失敗させるだけで
+# 停止しない。$# が減らないまま while が回り続けるので、明示的に検査して落とす。
+require_value() {
+    (( $# >= 2 )) || swt::die "${SWT_EXIT_USAGE}" "${1} には値が必要です"
+    [[ "${2}" != -* ]] || swt::die "${SWT_EXIT_USAGE}" "${1} の値が指定されていません (${2} が続いています)"
+}
+
+while (( $# > 0 )); do
+    case "${1}" in
+        --repo)   require_value "$@"; repo_arg="${2}"; shift 2 ;;
+        --branch) require_value "$@"; branch="${2}";   shift 2 ;;
+        --base)   require_value "$@"; base_arg="${2}"; shift 2 ;;
+        --label)  require_value "$@"; label="${2}";    shift 2 ;;
+        --reuse)  reuse=1;           shift ;;
+        --yes|-y) assume_yes=1;      shift ;;
+        --focus)     focus_flag="--focus";    shift ;;
+        --no-focus)  focus_flag="--no-focus"; shift ;;
+        -h|--help)
+            swt::print_header_comment "${0:A}"
+            exit "${SWT_EXIT_OK}"
+            ;;
+        *) swt::die "${SWT_EXIT_USAGE}" "不明な引数: ${1}" ;;
+    esac
+done
+
+interactive=0
+[[ -t 0 && -t 1 ]] && interactive=1
+
+herdr_bin="$(swt::herdr_bin)"
+
+# popup から起動された場合、結果を読む前に窓が閉じないように最後で入力待ちする
+swt::finish() {
+    local code="${1}"
+    if (( interactive )); then
+        print -r -- ""
+        print -r -- "Enter で閉じます。"
+        read -r _ || true
+    fi
+    exit "${code}"
+}
+
+swt::abort() {
+    swt::error "${2}"
+    swt::finish "${1}"
+}
+
+# ---------------------------------------------------------------------------
+# 設定の読み込み
+# ---------------------------------------------------------------------------
+allowlist="$(swt::load_allowlist)" || swt::finish "${SWT_EXIT_USAGE}"
+
+# ---------------------------------------------------------------------------
+# 対象リポジトリの決定
+#   --repo（label / パス） → Herdr の呼び出しコンテキスト → カレントディレクトリ
+#
+#   コンテキストを無条件に信用しないのは、`herdr plugin action invoke` を CLI から
+#   呼ぶと「UI 側でフォーカスされているワークスペース」が渡るため。呼び出し元の
+#   意図と一致する保証が無いので、解決結果は必ず表示してから使う。
+# ---------------------------------------------------------------------------
+repo_root=""
+if [[ -n "${repo_arg}" ]]; then
+    if repo_root="$(swt::repo_root_from_label "${allowlist}" "${repo_arg}")"; then
+        :
+    else
+        repo_root="${repo_arg}"
+    fi
+elif [[ -n "${HERDR_PLUGIN_CONTEXT_JSON:-}" ]]; then
+    repo_root="$(printf '%s' "${HERDR_PLUGIN_CONTEXT_JSON}" \
+        | jq -r '.worktree.repo_root // empty')"
+fi
+[[ -n "${repo_root}" ]] || repo_root="${PWD}"
+
+repo_root="$(swt::expand_home "${repo_root}")"
+[[ -d "${repo_root}" ]] || swt::abort "${SWT_EXIT_USAGE}" "リポジトリが見つかりません: ${repo_root}"
+
+# linked worktree の中を渡されてもメイン作業ツリーへ寄せる。Herdr は linked worktree からの
+# worktree create を linked_worktree_source エラーで拒否し、worktree.created イベントの
+# repo_root も常にメイン作業ツリーを指すため、ここで揃えておかないと
+# 「作成できない」か「plugin 経由の作成が直接作成として誤検出される」のどちらかになる。
+repo_root="$(swt::main_worktree_root "${repo_root}")" \
+    || swt::abort "${SWT_EXIT_USAGE}" "git 作業ツリーではありません: ${repo_root}"
+
+# ---------------------------------------------------------------------------
+# allowlist 判定（fail-closed）
+#   エントリごとに「そのエントリが使う remote」の URL を読んで突き合わせる。
+#   remote 名がエントリ依存なので、先に remote を固定してから引くことができない。
+# ---------------------------------------------------------------------------
+entry=""
+remote=""
+matched_url=""
+if matched="$(swt::match_repo "${allowlist}" "${repo_root}")"; then
+    remote="${matched%%$'\t'*}"
+    matched="${matched#*$'\t'}"
+    matched_url="${matched%%$'\t'*}"
+    entry="${matched#*$'\t'}"
+fi
+
+if [[ -z "${entry}" ]]; then
+    default_remote="$(swt::remote_name "${allowlist}" '{}')"
+    actual_url="$(git -C "${repo_root}" remote get-url "${default_remote}" 2>/dev/null || print -r -- '(取得できず)')"
+    swt::error "allowlist に無いリポジトリです。worktree は作成しません。"
+    swt::error "  repo   : ${repo_root}"
+    swt::error "  ${default_remote} : ${actual_url}"
+    swt::error "  設定   : $(swt::config_dir)/repos.json（マシンローカル分は repos.local.json）"
+    swt::finish "${SWT_EXIT_NOT_ALLOWED}"
+fi
+
+repo_label="$(printf '%s' "${entry}" | jq -r '.label // "(no label)"')"
+swt::log "リポジトリ: ${repo_label} (${repo_root})"
+swt::log "リモート  : ${remote} ${matched_url}"
+
+# ---------------------------------------------------------------------------
+# ブランチ名
+# ---------------------------------------------------------------------------
+if [[ -z "${branch}" ]]; then
+    if (( interactive )); then
+        print -rn -- "作成するブランチ名: "
+        read -r branch || true
+    fi
+fi
+[[ -n "${branch}" ]] || swt::abort "${SWT_EXIT_USAGE}" "--branch が必要です"
+
+if ! swt::valid_branch_name "${branch}"; then
+    swt::abort "${SWT_EXIT_USAGE}" "ブランチ名として不正です: ${branch}"
+fi
+
+# ---------------------------------------------------------------------------
+# 既存ブランチの扱い
+#   ローカルに同名ブランチがあれば「新規作成」は拒否する。再利用したい場合だけ
+#   --reuse で open に回す。`herdr worktree open` は worktree.created を発火しない
+#   ことを実機で確認済みなので、この経路は監査ログにも通知にも現れない。
+#
+#   リモートにだけ同名ブランチがある場合は --reuse でも拒否する。ローカルにその
+#   ブランチが無い状態で base から作ると、同じ名前で既に進んでいるリモート側と
+#   黙って分岐する。これはまさにこの plugin が防ごうとしている事故なので、
+#   自動で解決せず人間に返す。
+# ---------------------------------------------------------------------------
+if swt::branch_exists "${repo_root}" "${branch}"; then
+    if (( reuse )); then
+        swt::log "ブランチ ${branch} は既に存在します。--reuse 指定のため open で開きます（base は解決しません）。"
+        if ! open_response="$("${herdr_bin}" worktree open --cwd "${repo_root}" --branch "${branch}" ${focus_flag} 2>&1)"; then
+            swt::error "worktree open に失敗しました:"
+            swt::error "${open_response}"
+            swt::finish "${SWT_EXIT_ERROR}"
+        fi
+        # .result.worktree.path は公式スキーマ上 worktree_opened の必須フィールド。
+        # .result.workspace.worktree は null を取りうるので、そちらは使わない。
+        open_path="$(printf '%s' "${open_response}" | jq -r '.result.worktree.path // empty')"
+        open_already="$(printf '%s' "${open_response}" | jq -r '.result.already_open // false')"
+        if [[ "${open_already}" == "true" ]]; then
+            swt::log "既に開いていました: ${open_path:-${branch}}"
+        else
+            swt::log "開きました: ${open_path:-${branch}}"
+        fi
+        swt::finish "${SWT_EXIT_OK}"
+    fi
+    swt::error "ブランチ ${branch} は既に存在します。新規作成はしません。"
+    swt::error "  再利用するなら: ${0:A} --repo ${repo_root} --branch ${branch} --reuse"
+    swt::finish "${SWT_EXIT_BRANCH_EXISTS}"
+fi
+
+swt::remote_branch_exists "${repo_root}" "${remote}" "${branch}"
+remote_branch_rc=$?
+case "${remote_branch_rc}" in
+    0)
+        swt::error "${remote}/${branch} が既に存在します。新規作成はしません。"
+        swt::error "  ローカルに ${branch} が無い状態で base から作ると、リモートの同名ブランチと分岐します。"
+        swt::error "  続きをやるなら先に取り込んでください: git -C ${repo_root} switch -c ${branch} --track ${remote}/${branch}"
+        swt::finish "${SWT_EXIT_BRANCH_EXISTS}"
+        ;;
+    2)
+        # 「問い合わせに失敗した」を「存在しない」と読み替えない。ネットワーク障害のたびに
+        # リモート側の同名ブランチを見落として作成すると、この plugin の意味が無くなる。
+        swt::error "${remote} に問い合わせできず、${branch} がリモートに存在するか判定できません。"
+        swt::error "  判定できないまま作ると、リモートの同名ブランチと分岐する可能性があります。"
+        swt::error "  接続を確認してから再実行してください: git -C ${repo_root} ls-remote --heads ${remote}"
+        swt::finish "${SWT_EXIT_ERROR}"
+        ;;
+esac
+
+# ---------------------------------------------------------------------------
+# base の解決
+#   いずれの経路でも「fetch した直後の remote-tracking ref / 存在確認済み SHA」まで
+#   落としてから herdr へ渡す。ローカル ref をそのまま渡すことはしない。
+# ---------------------------------------------------------------------------
+base_sha=""
+base_desc=""
+
+if [[ -z "${base_arg}" ]]; then
+    default_branch="$(swt::remote_default_branch "${repo_root}" "${remote}")" \
+        || swt::abort "${SWT_EXIT_ERROR}" "${remote} の既定ブランチを解決できませんでした（ls-remote 失敗）"
+    swt::log "既定ブランチ: ${remote}/${default_branch}（今この場でリモートに問い合わせた値）"
+
+    swt::fetch_branch "${repo_root}" "${remote}" "${default_branch}" \
+        || swt::abort "${SWT_EXIT_ERROR}" "fetch に失敗しました: ${remote} ${default_branch}"
+    swt::set_remote_head "${repo_root}" "${remote}" "${default_branch}" || true
+
+    base_sha="$(swt::resolve_commit "${repo_root}" "refs/remotes/${remote}/${default_branch}")" \
+        || swt::abort "${SWT_EXIT_ERROR}" "fetch 後も ${remote}/${default_branch} を解決できませんでした"
+    base_desc="${remote}/${default_branch}"
+else
+    kind="$(swt::classify_base "${base_arg}")"
+    case "${kind}" in
+        remote)
+            base_remote="${base_arg%%/*}"
+            base_branch="${base_arg#*/}"
+            if [[ "${base_remote}" != "${remote}" ]]; then
+                swt::abort "${SWT_EXIT_BAD_BASE}" \
+                    "base のリモートが設定と異なります: ${base_remote}（このリポジトリの remote は ${remote}）"
+            fi
+            # ブランチ部分を git の ref 規則で検証する。ここを素通しすると
+            # `origin/` や `origin/..` のような値がそのまま fetch の refspec に混ざる。
+            if ! swt::valid_branch_name "${base_branch}"; then
+                swt::abort "${SWT_EXIT_BAD_BASE}" "base のブランチ名として不正です: ${base_branch}"
+            fi
+            swt::fetch_branch "${repo_root}" "${remote}" "${base_branch}" \
+                || swt::abort "${SWT_EXIT_BAD_BASE}" "fetch に失敗しました: ${remote} ${base_branch}"
+            base_sha="$(swt::resolve_commit "${repo_root}" "refs/remotes/${remote}/${base_branch}")" \
+                || swt::abort "${SWT_EXIT_BAD_BASE}" "fetch 後も ${base_arg} を解決できませんでした"
+            base_desc="${base_arg}"
+            ;;
+        sha)
+            if ! base_sha="$(swt::resolve_commit "${repo_root}" "${base_arg}")"; then
+                # ローカルに無い SHA は、既定ブランチを 1 回だけ取り直してから再確認する
+                if default_branch="$(swt::remote_default_branch "${repo_root}" "${remote}")"; then
+                    swt::fetch_branch "${repo_root}" "${remote}" "${default_branch}" || true
+                fi
+                base_sha="$(swt::resolve_commit "${repo_root}" "${base_arg}")" \
+                    || swt::abort "${SWT_EXIT_BAD_BASE}" \
+                        "このリポジトリに存在しないコミットです: ${base_arg}"
+            fi
+            base_desc="${base_arg}"
+            ;;
+        *)
+            swt::error "base として受け付けない指定です: ${base_arg}"
+            swt::error "  受け付けるのは <${remote}>/<branch> 形式か、存在するコミット SHA だけです。"
+            swt::error "  HEAD やローカルブランチ名は、ローカルが古いまま作成される事故を防ぐため拒否します。"
+            swt::finish "${SWT_EXIT_BAD_BASE}"
+            ;;
+    esac
+fi
+
+swt::log "base: ${base_desc} = ${base_sha}"
+
+# ---------------------------------------------------------------------------
+# 確認
+# ---------------------------------------------------------------------------
+if (( interactive )) && (( ! assume_yes )); then
+    print -r -- ""
+    print -r -- "  repo   : ${repo_label} (${repo_root})"
+    print -r -- "  branch : ${branch}"
+    print -r -- "  base   : ${base_desc} = ${base_sha}"
+    print -rn -- "この内容で作成しますか? (y/N) "
+    read -r answer || true
+    if [[ "${answer}" != "y" && "${answer}" != "Y" ]]; then
+        swt::log "中止しました。"
+        swt::finish "${SWT_EXIT_OK}"
+    fi
+fi
+
+# ---------------------------------------------------------------------------
+# 作成
+#   worktree.created イベントフックが「この plugin 経由の作成」を識別できるよう、
+#   期待値をマーカーとして先に置く。マーカーが無い作成は直接作成として監査される。
+#
+#   マーカーの後始末は「worktree が作られていないと言い切れるか」で分ける。
+#     - herdr を呼ぶ前に落ちた         → 作られていない。即削除
+#     - herdr が構造化エラーを返した   → 要求が拒否されただけで作られていない。即削除
+#     - それ以外の失敗・応答の解釈失敗 → 作られたかどうか分からない。TTL に任せる
+#
+#   最後のケースで消しに行かないのは、worktree.created が create の応答より先に飛びうるため。
+#   失敗と判断した側が消すと、フックが正当なマーカーを読む前に奪う競合になる。
+#   残ったマーカーは SWT_PENDING_TTL_SECONDS で自然に失効する。
+# ---------------------------------------------------------------------------
+create_args=(worktree create --cwd "${repo_root}" --branch "${branch}" --base "${base_sha}" "${focus_flag}")
+[[ -n "${label}" ]] && create_args+=(--label "${label}")
+
+if ! swt::ensure_state_dir >/dev/null; then
+    swt::abort "${SWT_EXIT_ERROR}" "状態ディレクトリを作成できませんでした: $(swt::state_dir)"
+fi
+if ! swt::pending_write "${repo_root}" "${branch}" "${base_sha}" "${base_desc}" >/dev/null; then
+    swt::abort "${SWT_EXIT_ERROR}" "監査マーカーを書けませんでした: $(swt::pending_dir)"
+fi
+
+if ! response="$("${herdr_bin}" "${create_args[@]}" 2>&1)"; then
+    # Herdr が JSON のエラーを返したなら、要求は受理されず worktree も作られていない。
+    # この場合だけイベントとの競合が無いので即座にマーカーを捨てる。
+    if [[ -n "$(printf '%s' "${response}" | jq -r '.error.code // empty' 2>/dev/null)" ]]; then
+        swt::pending_drop "${repo_root}" "${branch}"
+    fi
+    swt::error "worktree create に失敗しました:"
+    swt::error "${response}"
+    swt::finish "${SWT_EXIT_ERROR}"
+fi
+
+# 公式スキーマ上、worktree_created の必須フィールドは type/workspace/tab/root_pane/worktree。
+# チェックアウト先は .result.worktree.path（WorktreeInfo の必須フィールド）から取る。
+# .result.workspace.worktree は WorkspaceInfo 上 nullable なので依存しない。
+created_path="$(printf '%s' "${response}" | jq -r '.result.worktree.path // empty')"
+created_branch="$(printf '%s' "${response}" | jq -r '.result.worktree.branch // empty')"
+created_workspace="$(printf '%s' "${response}" | jq -r '.result.workspace.workspace_id // empty')"
+
+if [[ -z "${created_path}" ]]; then
+    swt::error "worktree create の応答を解釈できませんでした:"
+    swt::error "${response}"
+    swt::finish "${SWT_EXIT_ERROR}"
+fi
+
+# ---------------------------------------------------------------------------
+# 作成結果の照合
+#   ここが失敗しても worktree は消さない（削除・自動修復はこの plugin の責務外）。
+#   何がどうずれているかを報告して、判断は人間に返す。
+# ---------------------------------------------------------------------------
+actual_sha="$(swt::resolve_commit "${created_path}" HEAD || true)"
+actual_branch="$(git -C "${created_path}" rev-parse --abbrev-ref HEAD 2>/dev/null || true)"
+
+mismatch=0
+[[ "${actual_sha}" == "${base_sha}" ]]      || mismatch=1
+[[ "${actual_branch}" == "${branch}" ]]     || mismatch=1
+[[ "${created_branch}" == "${branch}" ]]    || mismatch=1
+
+if (( mismatch )); then
+    swt::error "作成結果が期待と一致しません（worktree はそのまま残します）:"
+    swt::error "  path            : ${created_path}"
+    swt::error "  branch 期待/実際 : ${branch} / ${actual_branch}"
+    swt::error "  SHA    期待/実際 : ${base_sha} / ${actual_sha}"
+    swt::finish "${SWT_EXIT_VERIFY}"
+fi
+
+swt::log "作成しました:"
+swt::log "  workspace : ${created_workspace}"
+swt::log "  path      : ${created_path}"
+swt::log "  branch    : ${branch}"
+swt::log "  base      : ${base_desc} = ${base_sha}"
+swt::finish "${SWT_EXIT_OK}"
diff --git a/herdr/plugins/safe-worktree/bin/open-create-pane.zsh b/herdr/plugins/safe-worktree/bin/open-create-pane.zsh
new file mode 100755
index 0000000..b3c7c54
--- /dev/null
+++ b/herdr/plugins/safe-worktree/bin/open-create-pane.zsh
@@ -0,0 +1,16 @@
+#!/bin/zsh
+# herdr/plugins/safe-worktree/bin/open-create-pane.zsh
+#
+# アクション本体（bin/create.zsh）を popup ペインで開くだけの入口。
+# アクションコマンドは TTY を持たない状態で実行されるため、ブランチ名の入力と
+# 最終確認は popup 側で行う。キーバインドからはこちらを叩く。
+
+set -u
+
+SWT_ROOT="${0:A:h:h}"
+source "${SWT_ROOT}/lib/common.zsh"
+
+herdr_bin="$(swt::herdr_bin)"
+plugin_id="${HERDR_PLUGIN_ID:-dotfiles.safe-worktree}"
+
+exec "${herdr_bin}" plugin pane open --plugin "${plugin_id}" --entrypoint create
diff --git a/herdr/plugins/safe-worktree/config/repos.json b/herdr/plugins/safe-worktree/config/repos.json
new file mode 100644
index 0000000..622c90a
--- /dev/null
+++ b/herdr/plugins/safe-worktree/config/repos.json
@@ -0,0 +1,13 @@
+{
+  "version": 1,
+  "defaults": {
+    "remote": "origin"
+  },
+  "repos": [
+    {
+      "label": "dotfiles",
+      "origin": "https://github.com/gotomts/dotfiles.git",
+      "root": "~/.dotfiles"
+    }
+  ]
+}
diff --git a/herdr/plugins/safe-worktree/herdr-plugin.toml b/herdr/plugins/safe-worktree/herdr-plugin.toml
new file mode 100644
index 0000000..a3a87c9
--- /dev/null
+++ b/herdr/plugins/safe-worktree/herdr-plugin.toml
@@ -0,0 +1,41 @@
+# Herdr local plugin: safe-worktree
+#
+# Herdr 標準の worktree 作成は base として渡した ref をローカルのまま解決する。
+# `--base main` はローカルの main（fetch していなければ数日前の SHA）を、
+# `--base HEAD` は現在チェックアウト中のコミットを黙って使う。
+# このプラグインは base をリモートの実 SHA に固定してから作成し、
+# 併せて allowlist 外リポジトリでの作成を拒否する。
+#
+# 設定 SSOT: <dotfiles>/herdr/plugins/safe-worktree/config/repos.json
+#            → setup/herdr-sync.zsh が HERDR_PLUGIN_CONFIG_DIR/repos.json へ symlink する
+
+id = "dotfiles.safe-worktree"
+name = "Safe Worktree"
+version = "0.1.0"
+min_herdr_version = "0.8.0"
+description = "allowlist 済みリポジトリで、リモート既定ブランチの最新 SHA を base に linked worktree を作る"
+platforms = ["macos"]
+
+# 対話用の popup。ブランチ名の入力と最終確認を人間から取る。
+[[panes]]
+id = "create"
+title = "Safe worktree: create"
+placement = "popup"
+width = "80%"
+height = "60%"
+command = ["/bin/zsh", "bin/create.zsh"]
+
+# キーバインド可能なアクション。popup を開くだけの薄い入口。
+# （アクションコマンドは TTY を持たないため、対話は popup 側で行う）
+[[actions]]
+id = "create"
+title = "Safe worktree: create"
+description = "リモート既定ブランチの最新 SHA を base に linked worktree を作る"
+contexts = ["global", "workspace"]
+command = ["/bin/zsh", "bin/open-create-pane.zsh"]
+
+# Herdr 標準経路での作成（TUI キーバインド等）も含め、全ての worktree 作成を監査する。
+# 監査のみ。worktree の削除・base の付け替えなど修復操作は一切行わない。
+[[events]]
+on = "worktree.created"
+command = ["/bin/zsh", "bin/audit-created.zsh"]
diff --git a/herdr/plugins/safe-worktree/lib/common.zsh b/herdr/plugins/safe-worktree/lib/common.zsh
new file mode 100644
index 0000000..838bcc3
--- /dev/null
+++ b/herdr/plugins/safe-worktree/lib/common.zsh
@@ -0,0 +1,554 @@
+#!/bin/zsh
+# herdr/plugins/safe-worktree/lib/common.zsh
+#
+# allowlist 判定・base 解決・監査ログの共通プリミティブ。
+# 呼び出し側は set -eu / setopt を自分で設定すること。
+#
+# 依存: zsh / git / jq / herdr CLI（いずれも nix/modules/darwin/homebrew.nix で宣言済み）
+
+# ---- 終了コード（呼び出し側・テストが分岐に使う） --------------------------
+SWT_EXIT_OK=0
+SWT_EXIT_ERROR=1        # git / herdr の実行失敗
+SWT_EXIT_USAGE=2        # 引数・設定ファイルの不備
+SWT_EXIT_NOT_ALLOWED=3  # origin URL が allowlist に無い
+SWT_EXIT_BAD_BASE=4     # base として受け付けない ref
+SWT_EXIT_BRANCH_EXISTS=5 # 既存ブランチでの新規作成要求
+SWT_EXIT_VERIFY=6       # 作成結果の照合失敗
+
+# 絶対パスで /usr/bin/* を呼ぶ理由は setup/lib/fs.zsh と同じ。一部の非対話実行環境は
+# PATH に /usr/bin を含まないことがあり、素の `shasum`/`awk` が command not found になる。
+
+# swt::print_header_comment <file>
+#   シバンの次から、最初の非コメント行の手前までを usage として出す。
+#   行番号を決め打ちすると、ヘッダーが伸縮したときに黙って途中で切れる。
+swt::print_header_comment() {
+    local line first=1
+    while IFS= read -r line; do
+        if (( first )); then
+            first=0
+            continue
+        fi
+        [[ "${line}" == "#"* ]] || break
+        print -r -- "${${line#\#}# }"
+    done < "${1}"
+}
+
+swt::log()   { print -r -- "[safe-worktree] ${1}" }
+swt::warn()  { print -r -- "[safe-worktree] WARN: ${1}" >&2 }
+swt::error() { print -r -- "[safe-worktree] ERROR: ${1}" >&2 }
+
+# swt::die <exit_code> <message>
+swt::die() {
+    swt::error "${2}"
+    exit "${1}"
+}
+
+# swt::herdr_bin  herdr 実行体のパス。plugin 実行時は Herdr が HERDR_BIN_PATH を注入する。
+#   テストでは SWT_HERDR_BIN でスタブに差し替える。
+swt::herdr_bin() {
+    print -r -- "${SWT_HERDR_BIN:-${HERDR_BIN_PATH:-herdr}}"
+}
+
+# swt::config_dir  設定ディレクトリ。plugin 実行時は Herdr が注入する。
+swt::config_dir() {
+    print -r -- "${SWT_CONFIG_DIR:-${HERDR_PLUGIN_CONFIG_DIR:-${HOME}/.config/herdr/plugins/config/dotfiles.safe-worktree}}"
+}
+
+# swt::state_dir  状態ディレクトリのパスを返すだけの getter。
+#   読み取り専用の呼び出し（監査ログの参照など）が副作用でディレクトリを作らないよう、
+#   作成は swt::ensure_state_dir に分けてある。
+swt::state_dir() {
+    print -r -- "${SWT_STATE_DIR:-${HERDR_PLUGIN_STATE_DIR:-${HOME}/.local/state/herdr/plugins/dotfiles.safe-worktree}}"
+}
+
+# swt::ensure_state_dir  書き込み前に呼ぶ。Herdr が作るディレクトリだが、
+#   plugin を link した直後の初回実行ではまだ存在しないことがある。
+swt::ensure_state_dir() {
+    local dir
+    dir="$(swt::state_dir)"
+    if [[ ! -d "${dir}" ]] && ! mkdir -p "${dir}" 2>/dev/null; then
+        # print の終了ステータスで成功が上書きされないよう、ここで打ち切る。
+        # 呼び出し側はこの戻り値を見て worktree を作る前に停止する。
+        return 1
+    fi
+    print -r -- "${dir}"
+}
+
+# ---------------------------------------------------------------------------
+# allowlist
+# ---------------------------------------------------------------------------
+
+# swt::load_allowlist
+#   設定ディレクトリの repos.json（dotfiles 追跡分の symlink）と repos.local.json
+#   （マシンローカル分の実ファイル）を結合して 1 つの JSON として stdout に出す。
+#   repos.json が無い場合は fail-closed。setup/herdr-sync.zsh 未実行の状態で
+#   「allowlist が空だから全部拒否」ではなく「設定が壊れている」と報告するため。
+swt::load_allowlist() {
+    local dir tracked local_file
+    dir="$(swt::config_dir)"
+    tracked="${dir}/repos.json"
+    local_file="${dir}/repos.local.json"
+
+    if [[ ! -e "${tracked}" ]]; then
+        swt::error "設定が見つかりません: ${tracked}"
+        swt::error "zsh \${HOME}/.dotfiles/setup/herdr-sync.zsh を実行してください"
+        return "${SWT_EXIT_USAGE}"
+    fi
+
+    local -a inputs
+    inputs=("${tracked}")
+    [[ -e "${local_file}" ]] && inputs+=("${local_file}")
+
+    if ! jq -s '
+        {
+          version: 1,
+          defaults: (map(.defaults // {}) | add // {}),
+          repos: (map(.repos // []) | add)
+        }
+    ' "${inputs[@]}" 2>/dev/null; then
+        swt::error "設定の解析に失敗しました: ${inputs[*]}"
+        return "${SWT_EXIT_USAGE}"
+    fi
+}
+
+# swt::normalize_origin <url>
+#   git のリモート URL を「ホスト/パス」の正規形に落とす。
+#   scheme と userinfo と port と末尾の .git は意図的に無視する:
+#   https 経由と ssh 経由で同じリポジトリを別物として扱わないため
+#   （allowlist が守るのは「どのリポジトリか」であって「どの転送路か」ではない）。
+#   ローカルパス（file:// / 絶対パス / 相対パス）は symlink 解決後の実パスで同一性を見る。
+swt::normalize_origin() {
+    local url="${1}"
+    [[ -n "${url}" ]] || return 1
+
+    local rest="${url}"
+    local scheme=""
+
+    if [[ "${rest}" == *"://"* ]]; then
+        scheme="${rest%%://*}"
+        rest="${rest#*://}"
+        scheme="${scheme:l}"
+    fi
+
+    if [[ "${scheme}" == "file" ]]; then
+        print -r -- "file:${rest:A}"
+        return 0
+    fi
+    # scheme 無しで ':' も無ければローカルパス（scp 形式は host:path なので必ず ':' を含む）
+    if [[ -z "${scheme}" && "${rest}" != *:* ]]; then
+        print -r -- "file:${rest:A}"
+        return 0
+    fi
+    # scp 形式 [user@]host:path → host/path に寄せる
+    if [[ -z "${scheme}" ]]; then
+        rest="${rest%%:*}/${rest#*:}"
+    fi
+
+    local host_part="${rest%%/*}"
+    local path_part=""
+    [[ "${rest}" == */* ]] && path_part="${rest#*/}"
+
+    host_part="${host_part##*@}"   # userinfo を落とす
+    host_part="${host_part%%:*}"   # port を落とす
+    host_part="${host_part:l}"
+
+    path_part="${path_part#/}"
+    path_part="${path_part%/}"
+    path_part="${path_part%.git}"
+
+    [[ -n "${host_part}" && -n "${path_part}" ]] || return 1
+    print -r -- "${host_part}/${path_part}"
+}
+
+# swt::origins_match <url_a> <url_b>
+#   2 つのリモート URL が同じリポジトリを指すかを判定する。
+#   どちらか一方でも正規化に失敗したら「不一致」として扱う (M3)。
+#   正規化の戻り値を見ずに文字列比較すると、両方が失敗して空文字列同士になったときに
+#   一致と誤判定し、allowlist をすり抜ける。
+swt::origins_match() {
+    local norm_a norm_b
+    norm_a="$(swt::normalize_origin "${1}")" || return 1
+    norm_b="$(swt::normalize_origin "${2}")" || return 1
+    [[ -n "${norm_a}" && -n "${norm_b}" ]] || return 1
+    [[ "${norm_a}" == "${norm_b}" ]]
+}
+
+# swt::match_repo <allowlist_json> <repo_root>
+#   repo_root のリモート URL が allowlist のどのエントリと一致するかを調べる。
+#   一致すればタブ区切りで "<remote>\t<url>\t<entry_json>" を stdout に出し、
+#   一致しなければ非 0（呼び出し側が SWT_EXIT_NOT_ALLOWED で落とす）。
+#
+#   エントリごとに remote 名が違いうるので、先に remote を 1 つに固定してから
+#   URL を引くことはできない。エントリを回しながらそのエントリの remote を引く。
+swt::match_repo() {
+    local allowlist="${1}"
+    local repo_root="${2}"
+
+    local -a candidates
+    candidates=("${(@f)$(printf '%s' "${allowlist}" | jq -c '.repos[]')}")
+
+    local candidate candidate_origin candidate_remote candidate_url
+    for candidate in "${candidates[@]}"; do
+        [[ -n "${candidate}" ]] || continue
+        candidate_origin="$(printf '%s' "${candidate}" | jq -r '.origin // empty')"
+        [[ -n "${candidate_origin}" ]] || continue
+        candidate_remote="$(swt::remote_name "${allowlist}" "${candidate}")"
+        candidate_url="$(git -C "${repo_root}" remote get-url "${candidate_remote}" 2>/dev/null)" || continue
+        if swt::origins_match "${candidate_url}" "${candidate_origin}"; then
+            printf '%s\t%s\t%s\n' "${candidate_remote}" "${candidate_url}" "${candidate}"
+            return 0
+        fi
+    done
+    return 1
+}
+
+# swt::expand_home <path>
+#   先頭の "~" だけを ${HOME} に展開する。${~var} を使わないのは、二重引用符の中では
+#   filename generation が抑止されて展開されず、引用符を外すと今度はパスに含まれる空白や
+#   glob 文字で壊れるため。設定ファイル由来の値なので、意図した 1 種類の展開だけを行う。
+swt::expand_home() {
+    local raw="${1}"
+    case "${raw}" in
+        "~")   print -r -- "${HOME}" ;;
+        "~/"*) print -r -- "${HOME}/${raw#\~/}" ;;
+        *)     print -r -- "${raw}" ;;
+    esac
+}
+
+# swt::repo_root_from_label <allowlist_json> <label>
+#   allowlist の label から作業ツリーのパスを引く（先頭の "~" は展開する）。
+swt::repo_root_from_label() {
+    local allowlist="${1}"
+    local label="${2}"
+
+    local root
+    root="$(printf '%s' "${allowlist}" \
+        | jq -r --arg l "${label}" '.repos[] | select(.label == $l) | .root // empty' \
+        | head -n 1)"
+    [[ -n "${root}" ]] || return 1
+    swt::expand_home "${root}"
+}
+
+# swt::remote_name <allowlist_json> <entry_json>
+#   エントリ固有の remote → defaults.remote → "origin" の順で解決する。
+swt::remote_name() {
+    local allowlist="${1}"
+    local entry="${2}"
+
+    local name
+    name="$(printf '%s' "${entry}" | jq -r '.remote // empty')"
+    [[ -n "${name}" ]] || name="$(printf '%s' "${allowlist}" | jq -r '.defaults.remote // empty')"
+    [[ -n "${name}" ]] || name="origin"
+    print -r -- "${name}"
+}
+
+# ---------------------------------------------------------------------------
+# git
+# ---------------------------------------------------------------------------
+
+# swt::git_toplevel <path>  path を含む作業ツリーのルート
+swt::git_toplevel() {
+    git -C "${1}" rev-parse --show-toplevel 2>/dev/null
+}
+
+# swt::main_worktree_root <path>
+#   path が属するリポジトリの「メイン作業ツリー」の絶対パスを返す。
+#
+#   linked worktree の中から呼ばれても、そこではなく親リポジトリを返す必要がある。
+#   理由は 2 つある:
+#     1. Herdr の worktree create/open は linked worktree からの実行を
+#        `linked_worktree_source` エラーで拒否する（実機確認済み）
+#     2. worktree.created イベントの repo_root は常にメイン作業ツリーを指すため、
+#        作成側がここを揃えないと pending マーカーのキーが一致せず、
+#        plugin 経由の作成が「直接作成」として誤検出される
+#
+#   `git worktree list --porcelain` の先頭エントリが必ずメイン作業ツリーになる。
+swt::main_worktree_root() {
+    # 変数名に path を使わない。zsh は path を $PATH と束縛された特殊配列として扱うため、
+    # local でスカラーを代入すると同一スコープ内のコマンド解決 (git 等) が壊れる
+    # (setup/lib/fs.zsh の fs::ensure_realfile と同じ理由)。
+    local target="${1}"
+    local listing first
+    listing="$(git -C "${target}" worktree list --porcelain 2>/dev/null)"
+    first="${listing%%$'\n'*}"
+    if [[ "${first}" == "worktree "* ]]; then
+        print -r -- "${${first#worktree }:A}"
+        return 0
+    fi
+    # worktree list が使えない場合の保険（bare 相当など）
+    local top
+    top="$(swt::git_toplevel "${target}")" || return 1
+    print -r -- "${top:A}"
+}
+
+# swt::remote_default_branch <repo_root> <remote>
+#   リモートの HEAD が指すブランチ名を「その場で」問い合わせる。
+#   ローカルの refs/remotes/<remote>/HEAD をキャッシュとして使わないのは、
+#   既定ブランチが上流で付け替えられた（v2 → main 等）ときに自動追従させるため。
+swt::remote_default_branch() {
+    local repo_root="${1}"
+    local remote="${2}"
+
+    local symref
+    symref="$(git -C "${repo_root}" ls-remote --symref "${remote}" HEAD 2>/dev/null \
+        | /usr/bin/awk '$1 == "ref:" && $3 == "HEAD" { print $2; exit }')"
+    [[ -n "${symref}" ]] || return 1
+    print -r -- "${symref#refs/heads/}"
+}
+
+# swt::fetch_branch <repo_root> <remote> <branch>
+#   refs/remotes/<remote>/<branch> を更新する。FETCH_HEAD ではなく
+#   remote-tracking ref を明示更新するのは、監査フック（audit-created.zsh）が
+#   ネットワーク無しで base の妥当性を判定できるようにするため。
+swt::fetch_branch() {
+    local repo_root="${1}"
+    local remote="${2}"
+    local branch="${3}"
+
+    git -C "${repo_root}" fetch --quiet "${remote}" \
+        "+refs/heads/${branch}:refs/remotes/${remote}/${branch}"
+}
+
+# swt::set_remote_head <repo_root> <remote> <branch>
+#   refs/remotes/<remote>/HEAD を現在の既定ブランチに合わせる。
+#   `git remote set-head` と同じ範囲の更新で、作業ツリーやローカルブランチには触れない。
+swt::set_remote_head() {
+    local repo_root="${1}"
+    local remote="${2}"
+    local branch="${3}"
+
+    git -C "${repo_root}" symbolic-ref "refs/remotes/${remote}/HEAD" \
+        "refs/remotes/${remote}/${branch}" 2>/dev/null
+}
+
+# swt::branch_exists <repo_root> <branch>  ローカルブランチが存在するか
+swt::branch_exists() {
+    git -C "${1}" show-ref --verify --quiet "refs/heads/${2}"
+}
+
+# swt::remote_branch_exists <repo_root> <remote> <branch>
+#   リモートに同名ブランチがあるかを ls-remote で直接問い合わせる。
+#
+#   ローカルの refs/remotes/<remote>/<branch> を見ないのは、それ自体が古くなりうるため。
+#   「fetch していないので気づかなかった」が、この plugin が防ごうとしている事故そのもの。
+#   ローカルに同名ブランチが無くてもリモートに既にあるなら、base から作った時点で
+#   同じ名前の別履歴が 2 つできる。
+#   戻り値は三値。ネットワーク障害を「存在しない」と読み替えないため。
+#     0 = リモートに存在する
+#     1 = リモートに存在しない（ls-remote が --exit-code で 2 を返した）
+#     2 = 問い合わせ自体に失敗した（判定不能）
+swt::remote_branch_exists() {
+    git -C "${1}" ls-remote --exit-code --heads "${2}" "refs/heads/${3}" >/dev/null 2>&1
+    local rc=$?
+    case "${rc}" in
+        0) return 0 ;;
+        2) return 1 ;;
+        *) return 2 ;;
+    esac
+}
+
+# swt::valid_branch_name <name>  git のブランチ名として妥当か
+swt::valid_branch_name() {
+    [[ -n "${1}" ]] || return 1
+    git check-ref-format --branch "${1}" >/dev/null 2>&1
+}
+
+# swt::resolve_commit <repo_root> <rev>  rev が指すコミット SHA（存在しなければ非 0）
+swt::resolve_commit() {
+    git -C "${1}" rev-parse --verify --quiet "${2}^{commit}" 2>/dev/null
+}
+
+# ---------------------------------------------------------------------------
+# base の受理判定
+# ---------------------------------------------------------------------------
+
+# swt::classify_base <base>
+#   受理する形だけを分類する。分類できない形は "reject" を返す。
+#     remote  : <remote>/<branch> 形式（fetch してから SHA に解決する）
+#     sha     : 7 文字以上の 16 進（リポジトリ内に存在することを別途確認する）
+#     reject  : HEAD / @ / ローカルブランチ名 / タグ / 相対指定（HEAD~1 等）
+#
+#   ローカル ref を一律に拒否するのは、Herdr 標準の worktree create が
+#   `--base main` をローカルの main として黙って解決してしまうため。
+#   「ローカルが古いことに気づかないまま古い base で作る」事故がこの plugin の防御対象。
+swt::classify_base() {
+    # 16 進 SHA の桁数判定に (#c7,40) を使うため、この関数内だけ extendedglob を有効にする
+    setopt local_options extended_glob
+    local base="${1}"
+
+    [[ -n "${base}" ]] || { print -r -- "reject"; return 0 }
+
+    if [[ "${base}" == "HEAD" || "${base}" == "@" || "${base}" == HEAD[~^]* ]]; then
+        print -r -- "reject"
+        return 0
+    fi
+    # 相対指定は解決タイミングで意味が変わるため受け付けない
+    if [[ "${base}" == *[~^]* ]]; then
+        print -r -- "reject"
+        return 0
+    fi
+    if [[ "${base}" == */* ]]; then
+        print -r -- "remote"
+        return 0
+    fi
+    if [[ "${base}" == [0-9a-fA-F](#c7,40) ]]; then
+        print -r -- "sha"
+        return 0
+    fi
+    print -r -- "reject"
+}
+
+# ---------------------------------------------------------------------------
+# 監査マーカー
+# ---------------------------------------------------------------------------
+
+# マーカーの有効期間（秒）。worktree.created はコマンド応答の直後に飛ぶので、
+# 実運用では数秒あれば足りる。取りこぼしに余裕を持たせつつ、古い残骸を
+# 「plugin 経由の作成」として誤認させない上限として 120 秒を既定にする。
+SWT_PENDING_TTL_SECONDS="${SWT_PENDING_TTL_SECONDS:-120}"
+
+# swt::pending_dir  マーカー置き場（作成はしない）
+swt::pending_dir() {
+    print -r -- "$(swt::state_dir)/pending"
+}
+
+# swt::pending_key <repo_root> <branch>
+#   「この plugin が今から作ろうとしている worktree」を示すマーカーのファイル名。
+#   作成前に create.zsh が置き、worktree.created フックが拾って消す。
+#   キーに使えるのはイベント側でも取れる値（repo_root と branch）だけ。
+#   Herdr がチェックアウト先パスを決めるので、パスは作成前には確定していない。
+swt::pending_key() {
+    # symlink 経由のパス（/var と /private/var 等）で別キーにならないよう実パスへ寄せる。
+    # 作成側は git の toplevel、イベント側は Herdr の repo_root と、出所が違うため。
+    local repo_root="${1:A}"
+    local branch="${2}"
+    local digest
+    digest="$(printf '%s\0%s' "${repo_root}" "${branch}" | /usr/bin/shasum -a 256)"
+    print -r -- "${digest%% *}"
+}
+
+# swt::pending_gc
+#   TTL を過ぎたマーカーを消す。create.zsh の開始時と監査フックの両方から呼ぶ。
+#
+#   古いマーカーを残したままにすると、あとから同じ repo + branch で「直接」作られた
+#   worktree が plugin 経由の作成として誤って承認される。時間切れのマーカーは
+#   一切信用しない（fail-closed）。
+swt::pending_gc() {
+    local dir
+    dir="$(swt::pending_dir)"
+    [[ -d "${dir}" ]] || return 0
+
+    local now marker
+    now="$(date -u +%s)"
+    for marker in "${dir}"/*.json(N); do
+        if ! swt::pending_is_fresh "${marker}" "${now}"; then
+            rm -f "${marker}"
+        fi
+    done
+}
+
+# swt::pending_is_fresh <marker_path> [now_epoch]
+swt::pending_is_fresh() {
+    local marker="${1}"
+    local now="${2:-$(date -u +%s)}"
+
+    [[ -f "${marker}" ]] || return 1
+
+    local created
+    created="$(jq -r '.created_epoch // empty' "${marker}" 2>/dev/null)"
+    [[ -n "${created}" ]] || return 1
+    (( now - created >= 0 && now - created <= SWT_PENDING_TTL_SECONDS ))
+}
+
+# swt::pending_write <repo_root> <branch> <base_sha> <base_desc>
+#   作成直前に期待値を書き出す。書き出しは herdr へ渡す前に行う必要がある
+#   （worktree.created は create コマンドの応答より先に飛びうるため）。
+swt::pending_write() {
+    local repo_root="${1}" branch="${2}" base_sha="${3}" base_desc="${4}"
+
+    local dir
+    dir="$(swt::pending_dir)"
+    if [[ ! -d "${dir}" ]] && ! mkdir -p "${dir}" 2>/dev/null; then
+        return 1
+    fi
+    swt::pending_gc
+
+    local marker="${dir}/$(swt::pending_key "${repo_root}" "${branch}").json"
+    if ! jq -n \
+        --arg repo_root "${repo_root}" \
+        --arg branch "${branch}" \
+        --arg base_sha "${base_sha}" \
+        --arg base_desc "${base_desc}" \
+        --arg created_at "$(date -u +%FT%TZ)" \
+        --argjson created_epoch "$(date -u +%s)" \
+        '{repo_root: $repo_root, branch: $branch, base_sha: $base_sha,
+          base_desc: $base_desc, created_at: $created_at, created_epoch: $created_epoch}' \
+        > "${marker}" 2>/dev/null; then
+        # 中途半端なマーカーを残さない。マーカーが無いまま作成すると監査上は
+        # 直接作成として鳴るだけだが、壊れたマーカーは誤って承認されうる。
+        rm -f "${marker}" 2>/dev/null
+        return 1
+    fi
+    print -r -- "${marker}"
+}
+
+# swt::pending_take <repo_root> <branch>
+#   マーカーがあり、かつ TTL 内なら中身を stdout に出して消す（消費）。
+#   無い / 期限切れなら非 0 を返し、期限切れのものはその場で捨てる。
+swt::pending_take() {
+    local repo_root="${1}" branch="${2}"
+
+    swt::pending_gc
+
+    local marker
+    marker="$(swt::pending_dir)/$(swt::pending_key "${repo_root}" "${branch}").json"
+    swt::pending_is_fresh "${marker}" || return 1
+
+    local content
+    content="$(cat "${marker}")"
+    rm -f "${marker}"
+    print -r -- "${content}"
+}
+
+# ---------------------------------------------------------------------------
+# 監査ログ
+# ---------------------------------------------------------------------------
+
+# 1 世代だけ残して切り替える閾値（バイト）。監査ログは 1 件 400 バイト程度なので、
+# 1 MiB でおよそ 2500 件分。これ以上を無期限に伸ばす価値はない。
+SWT_AUDIT_MAX_BYTES="${SWT_AUDIT_MAX_BYTES:-1048576}"
+
+# swt::rotate_audit_log <path>
+#   閾値を超えていたら <path>.1 へ 1 世代だけ退避する。
+#
+#   ローテーション自体は mkdir のアトミック性でロックする。worktree.created が
+#   連続したときに 2 プロセスが同時に mv すると、片方のログが失われる。
+#   ロックが取れなければ今回は見送る（次の書き込みで再挑戦すればよい）。
+#
+#   追記そのものはロックしない。1 行が PIPE_BUF (4096) より十分短く、
+#   O_APPEND の write は単一 write に収まる限りアトミックなため。
+swt::rotate_audit_log() {
+    local log="${1}"
+    [[ -f "${log}" ]] || return 0
+
+    local size
+    size="$(/usr/bin/stat -f %z "${log}" 2>/dev/null || print -r -- 0)"
+    (( size > SWT_AUDIT_MAX_BYTES )) || return 0
+
+    local lock="${log}.rotate.lock"
+    mkdir "${lock}" 2>/dev/null || return 0
+
+    # ロック待ちの間に別プロセスが切り替えている可能性があるので、もう一度測る
+    size="$(/usr/bin/stat -f %z "${log}" 2>/dev/null || print -r -- 0)"
+    if (( size > SWT_AUDIT_MAX_BYTES )); then
+        mv -f "${log}" "${log}.1"
+    fi
+    rmdir "${lock}" 2>/dev/null
+}
+
+# swt::pending_drop <repo_root> <branch>
+#   マーカーを即座に捨てる。「worktree が作られていないと確認できた」場合にだけ呼ぶ。
+#   イベントが飛びうる状況で呼ぶと、フックが正当なマーカーを読む前に奪う競合になる。
+swt::pending_drop() {
+    rm -f "$(swt::pending_dir)/$(swt::pending_key "${1}" "${2}").json"
+}
diff --git a/herdr/plugins/safe-worktree/tests/safe-worktree.bats b/herdr/plugins/safe-worktree/tests/safe-worktree.bats
new file mode 100644
index 0000000..f9ee408
--- /dev/null
+++ b/herdr/plugins/safe-worktree/tests/safe-worktree.bats
@@ -0,0 +1,1109 @@
+#!/usr/bin/env bats
+# herdr/plugins/safe-worktree/tests/safe-worktree.bats
+#
+# 実際の herdr は一切呼ばない。worktree の作成は stub が `git worktree add` に
+# 読み替えて実行し、Herdr の応答 JSON だけを模す。
+
+PLUGIN_DIR="$(cd "$(dirname "${BATS_TEST_FILENAME}")/.." && pwd)"
+
+# --- ヘルパー -------------------------------------------------------------
+
+swt_run() {
+    zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'; $*"
+}
+
+# abspath <path>  symlink を解決した絶対パス。
+#   bats は bash で動くので、zsh の ${var:A} は使えない。/var と /private/var のような
+#   symlink 差でテストが落ちるのを防ぐ。
+abspath() {
+    ( cd "${1}" >/dev/null 2>&1 && pwd -P )
+}
+
+# with_limit <秒> <コマンド...>
+#   引数解析が無限ループに戻る回帰を、テストのハングではなく失敗として検出するための上限。
+#   macOS には GNU coreutils の timeout が無いので、perl の alarm を使う。
+with_limit() {
+    local secs="${1}"
+    shift
+    perl -e 'alarm shift; exec @ARGV or exit 127' "${secs}" "$@"
+}
+
+# stub_herdr  worktree create/open を git worktree に読み替える herdr スタブを作る。
+#   応答 JSON は `herdr api schema` の success_response / ResponseResult に定義された
+#   worktree_created・worktree_opened の必須フィールドに合わせる（推測で組まない）。
+#     worktree_created: type, workspace, tab, root_pane, worktree
+#     worktree_opened : 上記 + already_open
+#   チェックアウト先は WorktreeInfo の必須フィールド .worktree.path から取れる。
+#   .workspace.worktree は WorkspaceInfo 上 nullable なので、スタブでも意図的に null にし、
+#   本体がそちらに依存していないことを常に検査する。
+stub_herdr() {
+    mkdir -p "${BATS_TEST_TMPDIR}/bin"
+    cat > "${BATS_TEST_TMPDIR}/bin/herdr" <<'STUB'
+#!/bin/zsh
+print -r -- "$*" >> "${STUB_HERDR_LOG:-/dev/null}"
+cwd=""; branch=""; base=""; sub="${2:-}"
+shift 2 2>/dev/null || true
+while (( $# > 0 )); do
+    case "${1}" in
+        --cwd)    cwd="${2}";    shift 2 ;;
+        --branch) branch="${2}"; shift 2 ;;
+        --base)   base="${2}";   shift 2 ;;
+        --label)  shift 2 ;;
+        *) shift ;;
+    esac
+done
+if [[ -n "${STUB_ERROR_CODE:-}" ]]; then
+    jq -n --arg c "${STUB_ERROR_CODE}" '{error: {code: $c, message: "stubbed"}}'
+    exit 1
+fi
+checkout="${STUB_WORKTREE_DIR}/${branch//\//-}"
+already=false
+if [[ "${sub}" == "create" ]]; then
+    # STUB_CREATE_AT が設定されていたら、要求された base ではなくそちらで作る。
+    # create.zsh の作成後照合が本当に効いているかを検査するため。
+    git -C "${cwd}" worktree add --quiet -b "${branch}" "${checkout}" "${STUB_CREATE_AT:-${base}}" >&2 || exit 1
+elif [[ "${sub}" == "open" ]]; then
+    if [[ -d "${checkout}" ]]; then
+        already=true
+    else
+        git -C "${cwd}" worktree add --quiet "${checkout}" "${branch}" >&2 || exit 1
+    fi
+fi
+jq -n --arg p "${checkout}" --arg b "${branch}" --argjson already "${already}" \
+    '{result: {
+        type: "worktree_created",
+        workspace: {workspace_id: "w1", number: 1, label: $b, focused: false,
+                    pane_count: 1, tab_count: 1, active_tab_id: "w1:t1",
+                    agent_status: "unknown", worktree: null},
+        tab: {workspace_id: "w1", tab_id: "w1:t1", label: "1", number: 1,
+              pane_count: 1, focused: false, agent_status: "unknown"},
+        root_pane: {pane_id: "w1:p1", tab_id: "w1:t1", workspace_id: "w1", cwd: $p},
+        worktree: {path: $p, branch: $b, is_bare: false, is_detached: false,
+                   is_prunable: false, is_linked_worktree: true, label: "repo"},
+        already_open: $already
+    }}'
+STUB
+    chmod +x "${BATS_TEST_TMPDIR}/bin/herdr"
+    export SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/herdr"
+    export STUB_WORKTREE_DIR="${BATS_TEST_TMPDIR}/worktrees"
+    export STUB_HERDR_LOG="${BATS_TEST_TMPDIR}/herdr-calls.log"
+    mkdir -p "${STUB_WORKTREE_DIR}"
+}
+
+# make_repo  origin 付きのローカルリポジトリ一式を作る。
+#   upstream を bare で作り、既定ブランチを v2 にしておく（v2 -> main の付け替え検証用）。
+make_repo() {
+    UPSTREAM="${BATS_TEST_TMPDIR}/upstream.git"
+    REPO="${BATS_TEST_TMPDIR}/repo"
+    git init --bare -q -b v2 "${UPSTREAM}"
+    git init -q -b v2 "${REPO}"
+    git -C "${REPO}" config user.email t@e.st
+    git -C "${REPO}" config user.name test
+    echo a > "${REPO}/a.txt"
+    git -C "${REPO}" add .
+    git -C "${REPO}" commit -qm first
+    git -C "${REPO}" remote add origin "${UPSTREAM}"
+    git -C "${REPO}" push -q origin v2
+    git -C "${UPSTREAM}" symbolic-ref HEAD refs/heads/v2
+}
+
+# advance_remote  ローカルに反映せずリモートだけ 1 コミット進める
+advance_remote() {
+    local clone="${BATS_TEST_TMPDIR}/pusher"
+    rm -rf "${clone}"
+    git clone -q "${UPSTREAM}" "${clone}"
+    git -C "${clone}" config user.email t@e.st
+    git -C "${clone}" config user.name test
+    echo "${RANDOM}" > "${clone}/b.txt"
+    git -C "${clone}" add .
+    git -C "${clone}" commit -qm second
+    git -C "${clone}" push -q origin HEAD
+}
+
+write_config() {
+    mkdir -p "${SWT_CONFIG_DIR}"
+    jq -n --arg origin "${UPSTREAM}" --arg root "${REPO}" \
+        '{version: 1, defaults: {remote: "origin"},
+          repos: [{label: "scratch", origin: $origin, root: $root}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+}
+
+teardown() {
+    # 書き込み不可にしたディレクトリを戻さないと BATS_TEST_TMPDIR の後片付けが失敗する
+    [[ -n "${LOCKED_DIR:-}" && -d "${LOCKED_DIR}" ]] && chmod u+w "${LOCKED_DIR}"
+    return 0
+}
+
+setup() {
+    export SWT_CONFIG_DIR="${BATS_TEST_TMPDIR}/config"
+    export SWT_STATE_DIR="${BATS_TEST_TMPDIR}/state"
+    export GIT_CONFIG_GLOBAL="${BATS_TEST_TMPDIR}/gitconfig"
+    export GIT_CONFIG_NOSYSTEM=1
+    : > "${GIT_CONFIG_GLOBAL}"
+}
+
+# --- 構文 -----------------------------------------------------------------
+
+@test "zsh -n syntax check passes for every script" {
+    for f in "${PLUGIN_DIR}"/lib/*.zsh "${PLUGIN_DIR}"/bin/*.zsh; do
+        run zsh -n "${f}"
+        [ "${status}" -eq 0 ]
+    done
+}
+
+@test "manifest declares the action, pane and worktree.created hook" {
+    grep -q 'id = "dotfiles.safe-worktree"' "${PLUGIN_DIR}/herdr-plugin.toml"
+    grep -q 'on = "worktree.created"' "${PLUGIN_DIR}/herdr-plugin.toml"
+    grep -q 'placement = "popup"' "${PLUGIN_DIR}/herdr-plugin.toml"
+}
+
+@test "tracked allowlist is valid json" {
+    run jq -e '.repos | type == "array"' "${PLUGIN_DIR}/config/repos.json"
+    [ "${status}" -eq 0 ]
+}
+
+# --- normalize_origin -----------------------------------------------------
+
+@test "normalize_origin treats ssh, scp and https forms of one repo as equal" {
+    a="$(swt_run 'swt::normalize_origin git@github.com:o/r.git')"
+    b="$(swt_run 'swt::normalize_origin ssh://git@github.com/o/r.git')"
+    c="$(swt_run 'swt::normalize_origin https://github.com/o/r')"
+    d="$(swt_run 'swt::normalize_origin https://GitHub.com:443/o/r.git')"
+    [ "${a}" = "github.com/o/r" ]
+    [ "${a}" = "${b}" ]
+    [ "${a}" = "${c}" ]
+    [ "${a}" = "${d}" ]
+}
+
+@test "normalize_origin keeps different repos distinct" {
+    a="$(swt_run 'swt::normalize_origin https://github.com/o/r')"
+    b="$(swt_run 'swt::normalize_origin https://github.com/o/other')"
+    c="$(swt_run 'swt::normalize_origin https://gitlab.com/o/r')"
+    [ "${a}" != "${b}" ]
+    [ "${a}" != "${c}" ]
+}
+
+# --- classify_base --------------------------------------------------------
+
+@test "classify_base rejects HEAD, bare local branch names and relative revisions" {
+    for base in HEAD @ main develop 'HEAD~1' 'main^' 'v1.0' ''; do
+        [ "$(swt_run "swt::classify_base '${base}'")" = "reject" ]
+    done
+}
+
+@test "classify_base accepts remote-qualified refs and hex shas" {
+    [ "$(swt_run 'swt::classify_base origin/main')" = "remote" ]
+    [ "$(swt_run 'swt::classify_base 60acd0e153e7648b5b126e48cb329c6e7013d4ef')" = "sha" ]
+    [ "$(swt_run 'swt::classify_base 60acd0e')" = "sha" ]
+}
+
+# --- load_allowlist -------------------------------------------------------
+
+@test "load_allowlist fails closed when the tracked config is missing" {
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'; swt::load_allowlist"
+    [ "${status}" -eq 2 ]
+    [[ "${output}" == *"herdr-sync.zsh"* ]]
+}
+
+@test "load_allowlist merges the machine-local allowlist" {
+    mkdir -p "${SWT_CONFIG_DIR}"
+    echo '{"version":1,"defaults":{"remote":"origin"},"repos":[{"label":"a","origin":"https://github.com/o/a"}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+    echo '{"version":1,"repos":[{"label":"b","origin":"https://github.com/o/b"}]}' \
+        > "${SWT_CONFIG_DIR}/repos.local.json"
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'; swt::load_allowlist | jq -r '.repos[].label' | sort | tr '\n' ' '"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "a b " ]
+}
+
+# --- create.zsh -----------------------------------------------------------
+
+@test "create refuses a repository whose origin is not on the allowlist" {
+    make_repo
+    write_config
+    stub_herdr
+    other="${BATS_TEST_TMPDIR}/other"
+    git init -q "${other}"
+    git -C "${other}" remote add origin https://example.com/nope.git
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo "${other}" --branch feat/x
+    [ "${status}" -eq 3 ]
+    [[ "${output}" == *"allowlist に無いリポジトリ"* ]]
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-x" ]
+}
+
+@test "create refuses HEAD and bare local branch names as base" {
+    make_repo
+    write_config
+    stub_herdr
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x --base HEAD
+    [ "${status}" -eq 4 ]
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x --base v2
+    [ "${status}" -eq 4 ]
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-x" ]
+}
+
+@test "create refuses a base pointing at a remote other than the configured one" {
+    make_repo
+    write_config
+    stub_herdr
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x --base upstream/v2
+    [ "${status}" -eq 4 ]
+}
+
+@test "create refuses a sha that does not exist in the repository" {
+    make_repo
+    write_config
+    stub_herdr
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x \
+        --base deadbeefdeadbeefdeadbeefdeadbeefdeadbeef
+    [ "${status}" -eq 4 ]
+}
+
+@test "create uses the freshly fetched remote tip, not the stale local branch" {
+    make_repo
+    write_config
+    stub_herdr
+    advance_remote
+
+    stale="$(git -C "${REPO}" rev-parse v2)"
+    remote_tip="$(git -C "${REPO}" ls-remote origin refs/heads/v2 | cut -f1)"
+    [ "${stale}" != "${remote_tip}" ]
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/fresh
+    [ "${status}" -eq 0 ]
+    [ "$(git -C "${STUB_WORKTREE_DIR}/feat-fresh" rev-parse HEAD)" = "${remote_tip}" ]
+}
+
+@test "create follows a renamed remote default branch without local reconfiguration" {
+    make_repo
+    write_config
+    stub_herdr
+    # 上流の既定ブランチを v2 から main へ付け替える
+    git -C "${UPSTREAM}" branch -m v2 main
+    git -C "${UPSTREAM}" symbolic-ref HEAD refs/heads/main
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/renamed
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"origin/main"* ]]
+}
+
+@test "create refuses to create on an existing branch and points at --reuse" {
+    make_repo
+    write_config
+    stub_herdr
+    git -C "${REPO}" branch feat/exists
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/exists
+    [ "${status}" -eq 5 ]
+    [[ "${output}" == *"--reuse"* ]]
+}
+
+@test "create --reuse opens the existing branch instead of creating it" {
+    make_repo
+    write_config
+    stub_herdr
+    git -C "${REPO}" branch feat/exists
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/exists --reuse
+    [ "${status}" -eq 0 ]
+    [ -d "${STUB_WORKTREE_DIR}/feat-exists" ]
+}
+
+@test "create leaves a pending marker that the audit hook consumes" {
+    make_repo
+    write_config
+    stub_herdr
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/marker
+    [ "${status}" -eq 0 ]
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "1" ]
+}
+
+# --- audit-created.zsh ----------------------------------------------------
+
+# emit_event  worktree.created のイベント JSON を組み立てて監査フックへ渡す
+run_audit() {
+    local checkout="${1}" branch="${2}"
+    HERDR_PLUGIN_EVENT_JSON="$(jq -n \
+        --arg repo "${REPO}" --arg co "${checkout}" --arg br "${branch}" \
+        '{data: {workspace: {workspace_id: "w1", worktree: {repo_root: $repo}},
+                 worktree: {path: $co, branch: $br}}}')" \
+        SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/true-stub" \
+        SWT_PENDING_TTL_SECONDS="${SWT_PENDING_TTL_SECONDS:-120}" \
+        zsh "${PLUGIN_DIR}/bin/audit-created.zsh"
+}
+
+# run_audit_no_workspace_worktree  .data.workspace.worktree が null のイベントを流す。
+#   公式スキーマ上 WorkspaceInfo.worktree は nullable なので、repo_root が取れない
+#   ケースでもチェックアウト先から自力で解決できることを検査する。
+run_audit_no_workspace_worktree() {
+    local checkout="${1}" branch="${2}"
+    HERDR_PLUGIN_EVENT_JSON="$(jq -n \
+        --arg co "${checkout}" --arg br "${branch}" \
+        '{data: {workspace: {workspace_id: "w1", worktree: null},
+                 worktree: {path: $co, branch: $br}}}')" \
+        SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/true-stub" \
+        zsh "${PLUGIN_DIR}/bin/audit-created.zsh"
+}
+
+# setup_notify_stub  監査フックが呼ぶ herdr を、引数を記録するだけのスタブに差し替える。
+#   「通知しない」を検証するには、成功して終わるだけのスタブでは足りない
+#   （何も検査していないのと同じになる）。呼び出しを数える。
+setup_notify_stub() {
+    mkdir -p "${BATS_TEST_TMPDIR}/bin"
+    export NOTIFY_LOG="${BATS_TEST_TMPDIR}/notify.log"
+    : > "${NOTIFY_LOG}"
+    cat > "${BATS_TEST_TMPDIR}/bin/true-stub" <<STUB
+#!/bin/sh
+printf '%s\n' "\$*" >> "${NOTIFY_LOG}"
+exit 0
+STUB
+    chmod +x "${BATS_TEST_TMPDIR}/bin/true-stub"
+}
+
+notify_count() {
+    grep -c 'notification show' "${NOTIFY_LOG}" 2>/dev/null || true
+}
+
+last_verdict() {
+    tail -n 1 "${SWT_STATE_DIR}/audit.jsonl" | jq -r '.verdict'
+}
+
+@test "audit records a plugin-created worktree as ok and consumes the marker" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/audited
+    [ "${status}" -eq 0 ]
+
+    run_audit "${STUB_WORKTREE_DIR}/feat-audited" feat/audited
+    [ "$(last_verdict)" = "plugin_ok" ]
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "0" ]
+    # plugin 経由で期待どおりなら通知しない
+    [ "$(notify_count)" = "0" ]
+}
+
+@test "audit flags a direct creation made from a stale base" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+    advance_remote
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    git -C "${REPO}" symbolic-ref refs/remotes/origin/HEAD refs/remotes/origin/v2
+
+    # plugin を経由せず、古いローカル v2 から直接 worktree を作る
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/direct "${direct}" v2
+
+    run_audit "${direct}" feat/direct
+    [ "$(last_verdict)" = "direct_create_stale_base" ]
+    # allowlist 対象で plugin_ok 以外なら通知する（上の「通知しない」ケースとの対）
+    [ "$(notify_count)" = "1" ]
+}
+
+@test "audit flags a direct creation whose base is outside the remote default history" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    git -C "${REPO}" symbolic-ref refs/remotes/origin/HEAD refs/remotes/origin/v2
+
+    git -C "${REPO}" checkout -q --orphan unrelated
+    git -C "${REPO}" commit -q --allow-empty -m unrelated
+    unrelated_sha="$(git -C "${REPO}" rev-parse HEAD)"
+    git -C "${REPO}" checkout -q v2
+
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/unrelated "${direct}" "${unrelated_sha}"
+
+    run_audit "${direct}" feat/unrelated
+    [ "$(last_verdict)" = "direct_create_unexpected_base" ]
+}
+
+@test "audit never removes or rewrites the worktree it flags" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    git -C "${REPO}" symbolic-ref refs/remotes/origin/HEAD refs/remotes/origin/v2
+
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/keep "${direct}" v2
+    before="$(git -C "${direct}" rev-parse HEAD)"
+
+    run_audit "${direct}" feat/keep
+    [ -d "${direct}" ]
+    [ "$(git -C "${direct}" rev-parse HEAD)" = "${before}" ]
+}
+
+@test "expand_home expands a leading tilde and leaves other paths alone" {
+    [ "$(swt_run 'swt::expand_home "~/x"')" = "${HOME}/x" ]
+    [ "$(swt_run 'swt::expand_home "~"')" = "${HOME}" ]
+    [ "$(swt_run 'swt::expand_home "/abs/p"')" = "/abs/p" ]
+    [ "$(swt_run 'swt::expand_home "rel/p"')" = "rel/p" ]
+}
+
+@test "create resolves a repo root written with a leading tilde in the allowlist" {
+    make_repo
+    stub_herdr
+    # allowlist の root を "~/<相対パス>" 形式にして、展開されることを確かめる。
+    # git は GIT_CONFIG_GLOBAL / GIT_CONFIG_NOSYSTEM で HOME から切り離してあるので、
+    # ここで HOME をサンドボックスへ差し替えても副作用はない。
+    export HOME="${BATS_TEST_TMPDIR}"
+    mkdir -p "${SWT_CONFIG_DIR}"
+    rel="${REPO#${HOME}/}"
+    [ "${rel}" != "${REPO}" ]
+    jq -n --arg origin "${UPSTREAM}" --arg root "~/${rel}" \
+        '{version: 1, defaults: {remote: "origin"},
+          repos: [{label: "scratch", origin: $origin, root: $root}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/tilde
+    [ "${status}" -eq 0 ]
+}
+
+# --- 複数エントリの allowlist ---------------------------------------------
+
+# write_multi_config  実在しない repo を前後に挟んだ 3 エントリの allowlist を書く。
+#   実例に架空のリポジトリを使うのは、このリポジトリが公開されており、非公開
+#   リポジトリ名をテストへ焼き込めないため（AGENTS.md「公開リポジトリでの参照ポリシー」）。
+write_multi_config() {
+    mkdir -p "${SWT_CONFIG_DIR}"
+    jq -n --arg origin "${UPSTREAM}" --arg root "${REPO}" \
+        '{version: 1, defaults: {remote: "origin"},
+          repos: [
+            {label: "before", origin: "https://github.com/example/before.git", root: "~/ghq/github.com/example/before"},
+            {label: "scratch", origin: $origin, root: $root},
+            {label: "after",  origin: "git@github.com:example/after.git",      root: "~/ghq/github.com/example/after"}
+          ]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+}
+
+@test "match_repo picks the right entry out of several allowlisted repositories" {
+    make_repo
+    write_multi_config
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::match_repo \"\${allowlist}\" '${REPO}' | cut -f3 | jq -r .label"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "scratch" ]
+}
+
+@test "match_repo rejects a repository that matches none of several entries" {
+    make_repo
+    write_multi_config
+    other="${BATS_TEST_TMPDIR}/other"
+    git init -q "${other}"
+    git -C "${other}" remote add origin https://github.com/example/unlisted.git
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::match_repo \"\${allowlist}\" '${other}'"
+    [ "${status}" -ne 0 ]
+    [ -z "${output}" ]
+}
+
+@test "match_repo accepts an ssh remote against an https entry and the reverse" {
+    make_repo
+    mkdir -p "${SWT_CONFIG_DIR}"
+
+    ssh_repo="${BATS_TEST_TMPDIR}/ssh-side"
+    git init -q "${ssh_repo}"
+    git -C "${ssh_repo}" remote add origin ssh://git@github.com/example/mixed.git
+
+    https_repo="${BATS_TEST_TMPDIR}/https-side"
+    git init -q "${https_repo}"
+    git -C "${https_repo}" remote add origin https://github.com/example/mixed.git
+
+    # 設定は https 表記、リモートは ssh 表記
+    echo '{"version":1,"defaults":{"remote":"origin"},"repos":[{"label":"mixed","origin":"https://github.com/example/mixed.git"}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::match_repo \"\${allowlist}\" '${ssh_repo}' | cut -f3 | jq -r .label"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "mixed" ]
+
+    # 設定は scp 形式、リモートは https 表記
+    echo '{"version":1,"defaults":{"remote":"origin"},"repos":[{"label":"mixed","origin":"git@github.com:example/mixed.git"}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::match_repo \"\${allowlist}\" '${https_repo}' | cut -f3 | jq -r .label"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "mixed" ]
+}
+
+@test "repo_root_from_label resolves each label to its own tilde-written root" {
+    make_repo
+    write_multi_config
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::repo_root_from_label \"\${allowlist}\" before
+        swt::repo_root_from_label \"\${allowlist}\" after"
+    [ "${status}" -eq 0 ]
+    [ "${lines[0]}" = "${HOME}/ghq/github.com/example/before" ]
+    [ "${lines[1]}" = "${HOME}/ghq/github.com/example/after" ]
+}
+
+@test "repo_root_from_label fails on a label that is not in the allowlist" {
+    make_repo
+    write_multi_config
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        allowlist=\"\$(swt::load_allowlist)\"
+        swt::repo_root_from_label \"\${allowlist}\" nope"
+    [ "${status}" -ne 0 ]
+}
+
+@test "create resolves the middle entry of a multi-entry allowlist by label" {
+    make_repo
+    write_multi_config
+    stub_herdr
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/multi
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"リポジトリ: scratch"* ]]
+    [ -d "${STUB_WORKTREE_DIR}/feat-multi" ]
+}
+
+# --- H2: linked worktree からの呼び出し -------------------------------------
+
+@test "main_worktree_root returns the parent checkout when called inside a linked worktree" {
+    make_repo
+    linked="${BATS_TEST_TMPDIR}/linked"
+    git -C "${REPO}" worktree add --quiet -b feat/linked "${linked}"
+
+    [ "$(swt_run "swt::git_toplevel '${linked}'")" = "$(abspath "${linked}")" ]
+    [ "$(swt_run "swt::main_worktree_root '${linked}'")" = "$(abspath "${REPO}")" ]
+    [ "$(swt_run "swt::main_worktree_root '${REPO}'")" = "$(abspath "${REPO}")" ]
+}
+
+@test "create normalizes a linked worktree path to the parent checkout" {
+    make_repo
+    write_config
+    stub_herdr
+    linked="${BATS_TEST_TMPDIR}/linked"
+    git -C "${REPO}" worktree add --quiet -b feat/linked "${linked}"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo "${linked}" --branch feat/from-linked
+    [ "${status}" -eq 0 ]
+    # herdr へ渡した --cwd が親チェックアウトになっている
+    grep -q -- "--cwd $(abspath "${REPO}") " "${STUB_HERDR_LOG}"
+    run grep -q -- "--cwd $(abspath "${linked}") " "${STUB_HERDR_LOG}"
+    [ "${status}" -ne 0 ]
+}
+
+@test "marker written from a linked worktree matches the event repo root" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+    linked="${BATS_TEST_TMPDIR}/linked"
+    git -C "${REPO}" worktree add --quiet -b feat/linked "${linked}"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo "${linked}" --branch feat/keyed
+    [ "${status}" -eq 0 ]
+
+    # イベント側は常にメイン作業ツリーを repo_root として渡してくる
+    run_audit "${STUB_WORKTREE_DIR}/feat-keyed" feat/keyed
+    [ "$(last_verdict)" = "plugin_ok" ]
+}
+
+# --- M1: pending marker の TTL / 順序 ---------------------------------------
+
+@test "audit ignores a marker that has outlived its ttl and reports a direct creation" {
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    git -C "${REPO}" symbolic-ref refs/remotes/origin/HEAD refs/remotes/origin/v2
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/stale-marker
+    [ "${status}" -eq 0 ]
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "1" ]
+
+    # TTL を 0 にすると、直前に書いたマーカーも期限切れ扱いになる
+    SWT_PENDING_TTL_SECONDS=-1 run_audit "${STUB_WORKTREE_DIR}/feat-stale-marker" feat/stale-marker
+    [[ "$(last_verdict)" == direct_create_* ]]
+    # 期限切れマーカーはその場で捨てられる
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "0" ]
+}
+
+@test "pending_gc drops expired markers and keeps fresh ones" {
+    make_repo
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        swt::pending_write /a/b feat/fresh sha1 origin/main >/dev/null
+        SWT_PENDING_TTL_SECONDS=-1 swt::pending_gc
+        ls -1 \"\$(swt::pending_dir)\" | wc -l | tr -d ' '"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "0" ]
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        swt::pending_write /a/b feat/fresh sha1 origin/main >/dev/null
+        swt::pending_gc
+        ls -1 \"\$(swt::pending_dir)\" | wc -l | tr -d ' '"
+    [ "${output}" = "1" ]
+}
+
+@test "create keeps the marker when herdr fails so the event hook can still resolve it" {
+    make_repo
+    write_config
+    mkdir -p "${BATS_TEST_TMPDIR}/bin"
+    printf '#!/bin/sh\nexit 1\n' > "${BATS_TEST_TMPDIR}/bin/herdr"
+    chmod +x "${BATS_TEST_TMPDIR}/bin/herdr"
+    export SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/herdr"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/failed
+    [ "${status}" -eq 1 ]
+    # 失敗側がマーカーを消しに行くと、イベントフックが読む前に奪う競合になる。
+    # 使われなかったマーカーは TTL で失効させる。
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "1" ]
+}
+
+# --- M2: worktree open はイベントを発火しない --------------------------------
+
+@test "reuse path writes no pending marker (worktree open does not emit worktree.created)" {
+    # 実機確認: herdr 0.8.2 で `herdr worktree open` は worktree.created を発火せず、
+    # 監査ログにも plugin log にも現れない。よって --reuse は監査経路に乗らない。
+    # 仮に将来のバージョンで発火するようになっても、マーカーが無い以上
+    # direct_create_* として鳴る（黙って plugin 経由と誤認するより安全側）。
+    make_repo
+    write_config
+    stub_herdr
+    git -C "${REPO}" branch feat/reused
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/reused --reuse
+    [ "${status}" -eq 0 ]
+    [ ! -d "${SWT_STATE_DIR}/pending" ] || \
+        [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "0" ]
+    grep -q "worktree open" "${STUB_HERDR_LOG}"
+}
+
+@test "reuse reports already_open from the open response" {
+    make_repo
+    write_config
+    stub_herdr
+    git -C "${REPO}" branch feat/reused
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/reused --reuse
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"開きました"* ]]
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/reused --reuse
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"既に開いていました"* ]]
+}
+
+# --- M3: 正規化できない URL は不一致 ----------------------------------------
+
+@test "origins_match treats an unnormalizable url as a mismatch" {
+    # どちらも正規化に失敗する。戻り値を見ずに空文字列同士を比べると一致してしまう
+    run swt_run 'swt::origins_match "https://" "https://"'
+    [ "${status}" -ne 0 ]
+    run swt_run 'swt::origins_match "https://github.com/o/r" "https://"'
+    [ "${status}" -ne 0 ]
+    run swt_run 'swt::origins_match "https://github.com/o/r" "git@github.com:o/r.git"'
+    [ "${status}" -eq 0 ]
+}
+
+@test "create refuses a repo whose origin url cannot be normalized" {
+    make_repo
+    mkdir -p "${SWT_CONFIG_DIR}"
+    echo '{"version":1,"defaults":{"remote":"origin"},"repos":[{"label":"broken","origin":"https://"}]}' \
+        > "${SWT_CONFIG_DIR}/repos.json"
+    stub_herdr
+
+    broken="${BATS_TEST_TMPDIR}/broken"
+    git init -q "${broken}"
+    git -C "${broken}" remote add origin "https://"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo "${broken}" --branch feat/x
+    [ "${status}" -eq 3 ]
+}
+
+# --- M4: 値なし引数 ---------------------------------------------------------
+
+@test "options that take a value exit 2 instead of looping forever when the value is missing" {
+    make_repo
+    write_config
+    stub_herdr
+    for opt in --repo --branch --base --label; do
+        run with_limit 10 zsh "${PLUGIN_DIR}/bin/create.zsh" "${opt}"
+        [ "${status}" -eq 2 ]
+        [[ "${output}" == *"値が必要です"* ]]
+    done
+}
+
+@test "an option followed by another option is rejected rather than swallowing it" {
+    make_repo
+    write_config
+    stub_herdr
+    run with_limit 10 zsh "${PLUGIN_DIR}/bin/create.zsh" --repo --branch feat/x
+    [ "${status}" -eq 2 ]
+}
+
+# --- 追加採用: remote branch の検出 / base branch 名の検証 --------------------
+
+@test "create refuses when the branch already exists on the remote" {
+    make_repo
+    write_config
+    stub_herdr
+    # リモートにだけ存在するブランチを作る（ローカルには置かない）
+    git -C "${REPO}" push -q origin "HEAD:refs/heads/feat/remote-only"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/remote-only
+    [ "${status}" -eq 5 ]
+    [[ "${output}" == *"origin/feat/remote-only"* ]]
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-remote-only" ]
+}
+
+@test "create refuses a remote-existing branch even with --reuse" {
+    make_repo
+    write_config
+    stub_herdr
+    git -C "${REPO}" push -q origin "HEAD:refs/heads/feat/remote-only"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/remote-only --reuse
+    [ "${status}" -eq 5 ]
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-remote-only" ]
+}
+
+@test "create rejects a malformed branch name in the base" {
+    make_repo
+    write_config
+    stub_herdr
+    for bad in "origin/" "origin/.." "origin/a..b" "origin/-x"; do
+        run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x --base "${bad}"
+        [ "${status}" -eq 4 ]
+    done
+}
+
+# --- 監査ログの rotation ----------------------------------------------------
+
+@test "audit log rotates a single generation once it passes the size threshold" {
+    make_repo
+    mkdir -p "${SWT_STATE_DIR}"
+    log="${SWT_STATE_DIR}/audit.jsonl"
+    /usr/bin/head -c 200 /dev/zero | tr '\0' 'x' > "${log}"
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        SWT_AUDIT_MAX_BYTES=100 swt::rotate_audit_log '${log}'"
+    [ "${status}" -eq 0 ]
+    [ -f "${log}.1" ]
+    [ ! -f "${log}" ]
+
+    # 閾値以下では切り替えない
+    printf 'x' > "${log}"
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        SWT_AUDIT_MAX_BYTES=100 swt::rotate_audit_log '${log}'"
+    [ -f "${log}" ]
+}
+
+@test "state_dir is a pure getter and ensure_state_dir is what creates it" {
+    export SWT_STATE_DIR="${BATS_TEST_TMPDIR}/not-yet"
+    run swt_run 'swt::state_dir'
+    [ "${output}" = "${SWT_STATE_DIR}" ]
+    [ ! -d "${SWT_STATE_DIR}" ]
+
+    run swt_run 'swt::ensure_state_dir'
+    [ "${status}" -eq 0 ]
+    [ -d "${SWT_STATE_DIR}" ]
+}
+
+@test "audit resolves the repo root itself when the event omits workspace.worktree" {
+    # 公式スキーマ上 WorkspaceInfo.worktree は nullable。repo_root が取れないイベントでも
+    # チェックアウト先からメイン作業ツリーを引き直して、マーカーと突き合わせられること。
+    make_repo
+    write_config
+    stub_herdr
+    setup_notify_stub
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/nullws
+    [ "${status}" -eq 0 ]
+
+    run_audit_no_workspace_worktree "${STUB_WORKTREE_DIR}/feat-nullws" feat/nullws
+    [ "$(last_verdict)" = "plugin_ok" ]
+    [ "$(tail -n 1 "${SWT_STATE_DIR}/audit.jsonl" | jq -r .repo_root)" = "$(abspath "${REPO}")" ]
+}
+
+# --- 指摘 4: リモート問い合わせ失敗は fail-closed ----------------------------
+
+@test "remote_branch_exists distinguishes absent from unreachable" {
+    make_repo
+    # 存在しない
+    run swt_run "swt::remote_branch_exists '${REPO}' origin nope"
+    [ "${status}" -eq 1 ]
+    # 存在する
+    git -C "${REPO}" push -q origin "HEAD:refs/heads/there"
+    run swt_run "swt::remote_branch_exists '${REPO}' origin there"
+    [ "${status}" -eq 0 ]
+    # 問い合わせ自体が失敗する（リモートが消えている）
+    rm -rf "${UPSTREAM}"
+    run swt_run "swt::remote_branch_exists '${REPO}' origin there"
+    [ "${status}" -eq 2 ]
+}
+
+@test "create refuses when the remote cannot be queried instead of assuming the branch is free" {
+    make_repo
+    write_config
+    stub_herdr
+    # base 解決を通すために先に fetch させてから、リモートを落とす
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    mv "${UPSTREAM}" "${UPSTREAM}.gone"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/offline
+    [ "${status}" -ne 0 ]
+    [ "${status}" -ne 5 ]
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-offline" ]
+}
+
+# --- 指摘 5: マーカーの後始末を場合分けする ---------------------------------
+
+@test "create drops the marker immediately when herdr rejects the request with a structured error" {
+    make_repo
+    write_config
+    stub_herdr
+    export STUB_ERROR_CODE="linked_worktree_source"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/rejected
+    [ "${status}" -eq 1 ]
+    # 要求が拒否された = worktree は作られていない = イベントも飛ばない。競合しないので即消す
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" 2>/dev/null | wc -l | tr -d ' ')" = "0" ]
+}
+
+@test "create keeps the marker when the failure shape is unknown" {
+    make_repo
+    write_config
+    mkdir -p "${BATS_TEST_TMPDIR}/bin"
+    printf '#!/bin/sh\necho "boom" >&2\nexit 3\n' > "${BATS_TEST_TMPDIR}/bin/herdr"
+    chmod +x "${BATS_TEST_TMPDIR}/bin/herdr"
+    export SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/herdr"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/unknown-failure
+    [ "${status}" -eq 1 ]
+    # 作られたか分からないので TTL に任せる
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "1" ]
+}
+
+@test "create keeps the marker when the response cannot be parsed" {
+    make_repo
+    write_config
+    mkdir -p "${BATS_TEST_TMPDIR}/bin"
+    printf '#!/bin/sh\necho "not json"\nexit 0\n' > "${BATS_TEST_TMPDIR}/bin/herdr"
+    chmod +x "${BATS_TEST_TMPDIR}/bin/herdr"
+    export SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/herdr"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/unparsable
+    [ "${status}" -eq 1 ]
+    [ "$(ls -1 "${SWT_STATE_DIR}/pending" | wc -l | tr -d ' ')" = "1" ]
+}
+
+# --- 指摘 6: --help の出力範囲 ----------------------------------------------
+
+@test "--help prints the whole header comment and stops at the first code line" {
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --help
+    [ "${status}" -eq 0 ]
+    # 先頭付近と末尾付近の両方が出ている（行番号決め打ちだと片方が落ちる）
+    [[ "${output}" == *"allowlist 済みリポジトリ"* ]]
+    [[ "${output}" == *"終了コード"* ]]
+    # コード行は混ざらない
+    [[ "${output}" != *"set -u"* ]]
+    [[ "${output}" != *"SWT_ROOT="* ]]
+}
+
+# --- 作成後照合の失敗 (exit 6) ----------------------------------------------
+
+@test "create reports a verification failure when the worktree lands on a different commit" {
+    make_repo
+    write_config
+    stub_herdr
+    advance_remote
+    # 要求した base（リモート先端）ではなく 1 つ前で作られる状況を作る
+    stale="$(git -C "${REPO}" rev-parse v2)"
+    export STUB_CREATE_AT="${stale}"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/mismatch
+    [ "${status}" -eq 6 ]
+    [[ "${output}" == *"作成結果が期待と一致しません"* ]]
+    # 照合に失敗しても worktree は消さない（削除・自動修復はしない）
+    [ -d "${STUB_WORKTREE_DIR}/feat-mismatch" ]
+}
+
+# --- 残りの verdict ---------------------------------------------------------
+
+@test "audit records a direct creation that sits exactly on the known remote tip" {
+    make_repo
+    write_config
+    setup_notify_stub
+    git -C "${REPO}" fetch -q origin '+refs/heads/v2:refs/remotes/origin/v2'
+    git -C "${REPO}" symbolic-ref refs/remotes/origin/HEAD refs/remotes/origin/v2
+
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/at-tip "${direct}" refs/remotes/origin/v2
+
+    run_audit "${direct}" feat/at-tip
+    [ "$(last_verdict)" = "direct_create_at_known_tip" ]
+}
+
+@test "audit reports unverified when the remote head has never been fetched" {
+    make_repo
+    write_config
+    setup_notify_stub
+    # refs/remotes/origin/HEAD を一度も作っていない状態
+
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/unverified "${direct}"
+
+    run_audit "${direct}" feat/unverified
+    [ "$(last_verdict)" = "direct_create_unverified" ]
+}
+
+@test "audit records a creation in a repository outside the allowlist without notifying" {
+    make_repo
+    write_config
+    setup_notify_stub
+    # allowlist に無いリポジトリを別に用意する
+    other="${BATS_TEST_TMPDIR}/other"
+    git init -q -b main "${other}"
+    git -C "${other}" config user.email t@e.st
+    git -C "${other}" config user.name test
+    git -C "${other}" commit -q --allow-empty -m first
+    git -C "${other}" remote add origin https://github.com/example/unlisted.git
+
+    HERDR_PLUGIN_EVENT_JSON="$(jq -n --arg repo "${other}" --arg co "${other}" \
+        '{data: {workspace: {workspace_id: "w1", worktree: {repo_root: $repo}},
+                 worktree: {path: $co, branch: "main"}}}')" \
+        SWT_HERDR_BIN="${BATS_TEST_TMPDIR}/bin/true-stub" \
+        zsh "${PLUGIN_DIR}/bin/audit-created.zsh"
+
+    [ "$(tail -n 1 "${SWT_STATE_DIR}/audit.jsonl" | jq -r .allowlisted)" = "false" ]
+    # 監査ログには残すが通知はしない（管理対象外のリポジトリで作るたびに鳴らすと、
+    # 通知そのものが読まれなくなる）
+    [ "$(notify_count)" = "0" ]
+}
+
+# --- 設定欠落 / 非対話 ------------------------------------------------------
+
+@test "create exits 2 when the tracked allowlist has not been placed yet" {
+    make_repo
+    stub_herdr
+    # repos.json を置かないまま実行する
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/x
+    [ "${status}" -eq 2 ]
+    [[ "${output}" == *"herdr-sync.zsh"* ]]
+}
+
+@test "create exits 2 rather than prompting when no branch is given without a tty" {
+    make_repo
+    write_config
+    stub_herdr
+    run with_limit 10 zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch < /dev/null
+    [ "${status}" -eq 2 ]
+    [[ "${output}" == *"--branch が必要です"* ]]
+}
+
+@test "create runs to completion without a tty and never waits for confirmation" {
+    make_repo
+    write_config
+    stub_herdr
+    # --yes を付けずとも、TTY が無ければ確認プロンプトには入らない
+    run with_limit 20 zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/noninteractive < /dev/null
+    [ "${status}" -eq 0 ]
+    [[ "${output}" != *"作成しますか"* ]]
+    [[ "${output}" != *"Enter で閉じます"* ]]
+    [ -d "${STUB_WORKTREE_DIR}/feat-noninteractive" ]
+}
+
+# --- popup を開くアクション -------------------------------------------------
+
+@test "the action entrypoint opens the create pane through herdr" {
+    stub_herdr
+    HERDR_PLUGIN_ID=dotfiles.safe-worktree \
+        run zsh "${PLUGIN_DIR}/bin/open-create-pane.zsh"
+    [ "${status}" -eq 0 ]
+    grep -q "plugin pane open --plugin dotfiles.safe-worktree --entrypoint create" "${STUB_HERDR_LOG}"
+}
+
+# --- state dir が使えないときの fail-fast ------------------------------------
+
+@test "ensure_state_dir and pending_write report failure instead of succeeding silently" {
+    LOCKED_DIR="${BATS_TEST_TMPDIR}/locked"
+    mkdir -p "${LOCKED_DIR}"
+    chmod u-w "${LOCKED_DIR}"
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        SWT_STATE_DIR='${LOCKED_DIR}/state' swt::ensure_state_dir"
+    [ "${status}" -ne 0 ]
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        SWT_STATE_DIR='${LOCKED_DIR}/state' swt::pending_write /a/b feat/x sha origin/main"
+    [ "${status}" -ne 0 ]
+}
+
+@test "pending_write fails when the marker itself cannot be written" {
+    LOCKED_DIR="${BATS_TEST_TMPDIR}/state-ro"
+    mkdir -p "${LOCKED_DIR}/pending"
+    chmod u-w "${LOCKED_DIR}/pending"
+
+    run zsh -c "source '${PLUGIN_DIR}/lib/common.zsh'
+        SWT_STATE_DIR='${LOCKED_DIR}' swt::pending_write /a/b feat/x sha origin/main"
+    [ "${status}" -ne 0 ]
+    chmod u+w "${LOCKED_DIR}/pending"
+    [ "$(ls -1 "${LOCKED_DIR}/pending" | wc -l | tr -d ' ')" = "0" ]
+    LOCKED_DIR=""
+}
+
+@test "create fails before touching the repository when the state dir is not writable" {
+    make_repo
+    write_config
+    stub_herdr
+
+    LOCKED_DIR="${BATS_TEST_TMPDIR}/locked-state"
+    mkdir -p "${LOCKED_DIR}"
+    chmod u-w "${LOCKED_DIR}"
+    export SWT_STATE_DIR="${LOCKED_DIR}/state"
+
+    run zsh "${PLUGIN_DIR}/bin/create.zsh" --repo scratch --branch feat/no-state
+    [ "${status}" -eq 1 ]
+    [[ "${output}" == *"監査マーカー"* || "${output}" == *"状態ディレクトリ"* ]]
+    # worktree もブランチも作られていない
+    [ ! -d "${STUB_WORKTREE_DIR}/feat-no-state" ]
+    run git -C "${REPO}" show-ref --verify --quiet "refs/heads/feat/no-state"
+    [ "${status}" -ne 0 ]
+    # herdr は一度も呼ばれていない
+    run grep -q "worktree create" "${STUB_HERDR_LOG}"
+    [ "${status}" -ne 0 ]
+}
+
+@test "audit exits quietly and writes nothing when the state dir cannot be created" {
+    make_repo
+    write_config
+    setup_notify_stub
+
+    LOCKED_DIR="${BATS_TEST_TMPDIR}/locked-audit"
+    mkdir -p "${LOCKED_DIR}"
+    chmod u-w "${LOCKED_DIR}"
+    export SWT_STATE_DIR="${LOCKED_DIR}/state"
+
+    direct="${BATS_TEST_TMPDIR}/direct"
+    git -C "${REPO}" worktree add --quiet -b feat/no-audit-state "${direct}"
+
+    run run_audit "${direct}" feat/no-audit-state
+    [ "${status}" -eq 0 ]
+    # state_dir が空のまま "/audit.jsonl" を書きに行っていないこと
+    [ ! -e "/audit.jsonl" ]
+    [ ! -e "${SWT_STATE_DIR}" ]
+    [ "$(notify_count)" = "0" ]
+    # 監査できなくても worktree はそのまま
+    [ -d "${direct}" ]
+}
diff --git a/setup/README.md b/setup/README.md
index 28988f4..e25aa56 100644
--- a/setup/README.md
+++ b/setup/README.md
@@ -16,7 +16,7 @@ Tier を跨いだ実行順序・部分適用の検出/復旧を担う `setup/mig
 ## 使い方（実機での唯一のエントリポイントは `setup/migrate.zsh`）
 
 Tier 1/2/3 の各スクリプト（`link.zsh`/`languages.zsh`/`defaults.zsh`/`pam.zsh`/
-`claude-sync.zsh`/`codex-sync.zsh`/`cutover.zsh`）を実機で直接実行することは非推奨。
+`claude-sync.zsh`/`codex-sync.zsh`/`herdr-sync.zsh`/`cutover.zsh`）を実機で直接実行することは非推奨。
 順序管理なしに個別実行すると部分適用インシデントを再現する（過去に実際に発生した）。
 実機での実行は必ず `setup/migrate.zsh` からのみ行う:
 
@@ -25,7 +25,7 @@ Tier 1/2/3 の各スクリプト（`link.zsh`/`languages.zsh`/`defaults.zsh`/`pa
 zsh ${HOME}/.dotfiles/setup/migrate.zsh --dry-run
 
 # 計画を実行する。単一の root 起動で全 Phase (link -> cutover/pam -> languages/defaults/
-# claude-sync/codex-sync) が完結する。sudo が自動設定する SUDO_USER から元ユーザーを
+# claude-sync/codex-sync/herdr-sync) が完結する。sudo が自動設定する SUDO_USER から元ユーザーを
 # 特定し、非 root ステップは元ユーザーへ委譲実行する（詳細は
 # docs/superpowers/specs/2026-08-22-migrate-orchestrator-recovery-plan.md 参照）
 sudo zsh ${HOME}/.dotfiles/setup/migrate.zsh --apply
@@ -49,6 +49,7 @@ zsh ${HOME}/.dotfiles/setup/defaults.zsh
 zsh ${HOME}/.dotfiles/setup/pam.zsh
 zsh ${HOME}/.dotfiles/setup/claude-sync.zsh
 zsh ${HOME}/.dotfiles/setup/codex-sync.zsh
+zsh ${HOME}/.dotfiles/setup/herdr-sync.zsh
 sudo USER=${USER} zsh ${HOME}/.dotfiles/setup/cutover.zsh
 ```
 
@@ -79,8 +80,14 @@ symlink 越しに即座に反映される。再実行が必要なのは「`setup
   （2 回目以降はスキップ）。IME/入力ソースの plist は複製せず `nix/modules/darwin/` を
   単一ソースとして参照する。role は `/etc/dotfiles-role`（`nix/flake.nix` と同じ規約）から
   解決し、テストでは `DOTFILES_ROLE_FILE` で上書きできる。
-- `claude-sync.zsh`/`codex-sync.zsh`: 破壊的な操作を行わない（MCP merge は add-only、
-  config.toml は seed-if-absent、skills repo clone は既存ディレクトリを一切変更しない）。
+- `claude-sync.zsh`/`codex-sync.zsh`/`herdr-sync.zsh`: 破壊的な操作を行わない（MCP merge は
+  add-only、config.toml は seed-if-absent、skills repo clone は既存ディレクトリを一切変更しない）。
+  `herdr-sync.zsh` は primary チェックアウト（`~/.dotfiles`）から実行されたときだけ
+  plugin link と設定配置を行う。`herdr plugin link` は渡されたパスをそのまま登録先に
+  するため、使い捨ての worktree を登録すると削除時にプラグインと allowlist が同時に壊れる。
+  primary 以外から実行された場合は両方まとめてスキップする。登録先パスが既に一致して
+  いれば何もせず、`repos.local.json`（マシンローカルの allowlist）は seed-if-absent で
+  既存の中身に触れない。
 - `cutover.zsh`: 実行前に `darwin-rebuild --list-generations` の出力を
   `~/.dotfiles-cutover-backup/pre-cutover-generations-<timestamp>.txt` へ記録してから
   `nix build`（副作用なし）で pre-flight 確認し、成功したときだけ `darwin-rebuild switch`
@@ -91,7 +98,7 @@ symlink 越しに即座に反映される。再実行が必要なのは「`setup
   `fs::ensure_realfile` と同じ no-data-loss 方針で、自動退避はしない）。
 - `migrate.zsh`: Tier 1/2/3 を跨いだ唯一のオーケストレーター。実行順序は Phase 1
   (`link`) → Phase 2 (`cutover`/`pam`、root 必須) → Phase 3 (`languages`/`defaults`/
-  `claude-sync`/`codex-sync`)。`languages.zsh` 自身が「mise は darwin-switch で事前導入
+  `claude-sync`/`codex-sync`/`herdr-sync`)。`languages.zsh` 自身が「mise は darwin-switch で事前導入
   済みが前提」と明記しているため、cutover を languages より先に置く。各ステップの結果は
   `~/.dotfiles-migrate/manifest.log` に永続化し、success 済みステップは再実行しない
   （idempotent な部分適用検出・再開）。権限不足なステップは blocked として記録し、その
@@ -106,11 +113,35 @@ symlink 越しに即座に反映される。再実行が必要なのは「`setup
 
 ```sh
 bats setup/tests/*.bats
+bats herdr/plugins/*/tests/*.bats
 ```
 
+`setup/lib/herdr.zsh` は Herdr プラグインの識別子とパス解決だけを持つ共有ライブラリ。
+配置する側（`herdr-sync.zsh`）と確認する側（`migrate.zsh` の health check）が別々に
+パスを組み立てると、Herdr が設定ディレクトリの位置を変えたときに health check だけが
+古い場所を見に行くため、解決ロジックを 1 箇所に寄せている。
+
+配置する条件も両者で揃える。何も配置しないのは **primary チェックアウト
+（`~/.dotfiles`）以外からの実行** のときだけなので、health check もその条件でだけ
+検証を飛ばす。`herdr` の有無では飛ばさない — herdr が無くても `herdr-sync.zsh` は
+既定パスへ allowlist を配置して成功するため、そこを飛ばすと「配置されているのに
+検証しない」死角になる。
+
+`herdr::plugin_config_dir` の既知の制約: `herdr plugin config-dir` に問い合わせるのは
+**呼び出し元自身のホームを対象にするときだけ**。`migrate.zsh` の health check は root で
+走りつつ元ユーザーのホームを検査するため、そこで herdr を呼ぶと root 自身の設定
+ディレクトリを答えてしまい、存在しないパスを検査して必ず失敗する。よって別ユーザーの
+ホームが対象のとき（および herdr 不在時）は既定パス
+`<home>/.config/herdr/plugins/config/<plugin_id>` の組み立てだけを使う。
+**この経路は Herdr がレイアウトを変えても追従しない。** 変わった場合は health check が
+先に落ちるので、`setup/lib/herdr.zsh` のフォールバックを更新すること
+（root から元ユーザー文脈で herdr を呼び直す作りにはしていない。sudo 越しの
+委譲実行を health check にまで広げるほどの利得が無いため）。
+
 `fs::link_file`/`fs::ensure_realfile` は関数単位、`link.zsh`/`languages.zsh`/`defaults.zsh`/
-`pam.zsh`/`claude-sync.zsh`/`codex-sync.zsh`/`cutover.zsh`/`rollback.zsh`/`migrate.zsh` は、
-実コマンド（`defaults`/`mise`/`corepack`/`claude`/`git`/`darwin-rebuild`/`nix`）を PATH 上の
+`pam.zsh`/`claude-sync.zsh`/`codex-sync.zsh`/`herdr-sync.zsh`/`cutover.zsh`/`rollback.zsh`/
+`migrate.zsh` は、
+実コマンド（`defaults`/`mise`/`corepack`/`claude`/`herdr`/`git`/`darwin-rebuild`/`nix`）を PATH 上の
 stub 実行ファイルに差し替え、`$HOME` を一時ディレクトリに差し替えたサンドボックスでの統合テスト
 （実機・実ネットワーク・実パッケージマネージャ・実 `darwin-rebuild switch` には一切触れない）。
 `migrate.zsh` のテストは Tier 1 が作る `~/.zshenv` symlink を経由して後続の子 `zsh` プロセスが
@@ -118,4 +149,9 @@ stub 実行ファイルに差し替え、`$HOME` を一時ディレクトリに
 テストでは踏まなかった経路）。stub 実行ファイルを `#!/bin/bash` にしているのはこのため
 （`#!/bin/zsh` だと stub 自身が `~/.zshenv` を再度 source し、そこでの `mise activate --shims`
 がまた `mise` を呼ぶ無限再帰になる）。CI は `.github/workflows/setup-check.yml` が `setup/**`
-の変更ごとに実行する。
+と `herdr/**` の変更ごとに両方の bats スイートを実行する。
+
+`herdr/plugins/*/tests/*.bats`（Herdr ローカルプラグイン）も同じ workflow が実行する。
+`herdr` はスタブに差し替えるが、`git` はサンドボックス内に作った使い捨てリポジトリに対して
+実際に実行する（allowlist 判定・base 解決・監査の判定はいずれも git の実挙動が対象のため、
+stub では検証にならない）。
diff --git a/setup/herdr-sync.zsh b/setup/herdr-sync.zsh
new file mode 100755
index 0000000..d1a148c
--- /dev/null
+++ b/setup/herdr-sync.zsh
@@ -0,0 +1,131 @@
+#!/bin/zsh
+# setup/herdr-sync.zsh
+#
+# Tier 2: Herdr のローカルプラグイン同期。
+#   1. herdr/plugins/safe-worktree を local plugin として link する（未登録時のみ）
+#   2. allowlist の SSOT (config/repos.json) を HERDR_PLUGIN_CONFIG_DIR へ symlink する
+#   3. マシンローカル用の repos.local.json を seed-if-absent で置く
+#
+# plugin の登録先 (~/.config/herdr/plugins.json) は Herdr が動的に書き換える running config
+# なので symlink・追跡しない。~/.claude.json や ~/.codex/config.toml と同種の扱い。
+# plugin 本体はリポジトリの working tree を直接指すため、link 後の編集は再実行なしで反映される。
+#
+# 非公開リポジトリを allowlist に入れたい場合は repos.json ではなく
+# ${HERDR_PLUGIN_CONFIG_DIR}/repos.local.json に書く（公開リポジトリに非公開リポジトリの
+# 名前を載せないため。nix/modules/darwin/homebrew.nix の homebrew.local.nix と同じ方針）。
+#
+# 使い方:
+#   zsh ${HOME}/.dotfiles/setup/herdr-sync.zsh
+#
+# 終了コード: 常に 0（fail-open。herdr 未インストールの新規 PC で環境構築全体が止まる方が
+# 害が大きいため、claude-sync.zsh / codex-sync.zsh と同じ設計判断を踏襲する）
+
+SETUP_DIR="${0:A:h}"
+DOTFILES_ROOT="${SETUP_DIR:h}"
+source "${SETUP_DIR}/lib/util.zsh"
+source "${SETUP_DIR}/lib/fs.zsh"
+source "${SETUP_DIR}/lib/herdr.zsh"
+
+# 呼び出し元 (migrate.zsh の委譲実行など) の PATH を信用しない。
+# 理由は util::ensure_homebrew_path のコメント参照。
+util::ensure_homebrew_path
+
+util::info "=== Tier 2: Herdr plugin sync ==="
+
+SWT_PLUGIN_ID="${HERDR_SWT_PLUGIN_ID}"
+SWT_PLUGIN_SRC="$(herdr::plugin_src "${DOTFILES_ROOT}")"
+
+# ---------------------------------------------------------------------------
+# 0. primary チェックアウトからの実行かを確認する
+#
+#   `herdr plugin link` は渡されたパスをそのまま登録先として保存し、プラグインは
+#   以後そのパスから実行される。linked worktree や一時 clone を登録すると、
+#   その worktree を消した時点でプラグイン本体と allowlist の symlink が同時に壊れる。
+#   worktree は使い捨てなので、消える前提の場所を登録先にしてはいけない。
+#
+#   そのため primary (${HOME}/.dotfiles) 以外から実行された場合は、link も設定配置も
+#   両方まとめて何もしない。片方だけ実行すると、登録されているプラグインとは別の場所の
+#   allowlist を指す symlink が残り、どちらが効いているのか分からなくなる。
+# ---------------------------------------------------------------------------
+if ! herdr::is_primary_root "${DOTFILES_ROOT}"; then
+    util::warning "primary チェックアウト以外からの実行のため、plugin link と設定配置をスキップします"
+    util::warning "  実行元  : ${DOTFILES_ROOT}"
+    util::warning "  primary : $(herdr::primary_dotfiles_root)"
+    util::warning "  使い捨ての worktree を登録すると、削除時に plugin と allowlist が同時に壊れます"
+    util::info "=== Tier 2: Herdr plugin sync 完了（スキップ） ==="
+    exit 0
+fi
+
+# ---------------------------------------------------------------------------
+# 1. local plugin の link（未登録時のみ / 登録済みでもパスが違えば張り替え）
+# ---------------------------------------------------------------------------
+herdr-sync::link_plugin() {
+    if ! command -v herdr &>/dev/null; then
+        util::warning "herdr CLI 未インストール、plugin link をスキップ"
+        return 0
+    fi
+
+    if [[ ! -f "${SWT_PLUGIN_SRC}/herdr-plugin.toml" ]]; then
+        util::warning "${SWT_PLUGIN_SRC}/herdr-plugin.toml 不在、plugin link をスキップ"
+        return 0
+    fi
+
+    local listed registered_root
+    listed="$(herdr plugin list --json 2>/dev/null)"
+    if [[ -n "${listed}" ]]; then
+        registered_root="$(printf '%s' "${listed}" \
+            | jq -r --arg id "${SWT_PLUGIN_ID}" \
+                '.result.plugins[]? | select(.plugin_id == $id) | .plugin_root' 2>/dev/null)"
+    fi
+
+    if [[ -n "${registered_root}" ]]; then
+        # link 時に Herdr 側でパスが正規化される（/tmp → /private/tmp 等）ため、
+        # 実パス同士で比較する
+        if [[ "${registered_root:A}" == "${SWT_PLUGIN_SRC:A}" ]]; then
+            util::skip "plugin ${SWT_PLUGIN_ID} は既に ${registered_root} で登録済みです"
+            return 0
+        fi
+        util::action "plugin ${SWT_PLUGIN_ID} の登録先を張り替えます (${registered_root} -> ${SWT_PLUGIN_SRC})"
+        herdr plugin unlink "${SWT_PLUGIN_ID}" &>/dev/null \
+            || util::warning "plugin ${SWT_PLUGIN_ID} の unlink に失敗"
+    fi
+
+    if herdr plugin link "${SWT_PLUGIN_SRC}" &>/dev/null; then
+        util::info "plugin ${SWT_PLUGIN_ID}: linked (${SWT_PLUGIN_SRC})"
+    else
+        util::warning "plugin ${SWT_PLUGIN_ID}: link 失敗"
+    fi
+}
+
+# ---------------------------------------------------------------------------
+# 2. allowlist SSOT の symlink + 3. マシンローカル分の seed-if-absent
+# ---------------------------------------------------------------------------
+herdr-sync::sync_config() {
+    local decl="${SWT_PLUGIN_SRC}/config/repos.json"
+    if [[ ! -f "${decl}" ]]; then
+        util::warning "${decl} 不在、allowlist の配置をスキップ"
+        return 0
+    fi
+
+    local config_dir
+    config_dir="$(herdr::plugin_config_dir)"
+    fs::ensure_dir "${config_dir}"
+
+    fs::link_file "${decl}" "${config_dir}/repos.json" \
+        || util::warning "allowlist の symlink 作成に失敗: ${config_dir}/repos.json"
+
+    local local_file="${config_dir}/repos.local.json"
+    if [[ -e "${local_file}" ]]; then
+        util::skip "${local_file} は既に存在します（中身は変更しません）"
+        return 0
+    fi
+    print -r -- '{"version": 1, "repos": []}' > "${local_file}" \
+        && util::info "マシンローカル allowlist を作成しました: ${local_file}" \
+        || util::warning "${local_file} の作成に失敗"
+}
+
+herdr-sync::link_plugin
+herdr-sync::sync_config
+
+util::info "=== Tier 2: Herdr plugin sync 完了 ==="
+exit 0
diff --git a/setup/lib/herdr.zsh b/setup/lib/herdr.zsh
new file mode 100644
index 0000000..25e43fe
--- /dev/null
+++ b/setup/lib/herdr.zsh
@@ -0,0 +1,68 @@
+#!/bin/zsh
+# setup/lib/herdr.zsh
+#
+# Herdr プラグインの識別子とパス解決。setup/herdr-sync.zsh（配置する側）と
+# setup/migrate.zsh の health check（配置されたことを確認する側）が同じ答えを出す
+# 必要があるため、解決ロジックをここ 1 箇所に置く。
+#
+# 既知の制約: herdr CLI に問い合わせられるのは呼び出し元自身のホームについてだけ。
+# 別ユーザーのホームが対象のときは既定パスの組み立てにフォールバックするので、
+# Herdr が設定ディレクトリのレイアウトを変えてもその経路は追従しない
+# (herdr::plugin_config_dir のコメント参照)。
+#
+# lib/util.zsh が事前に source 済みであることを前提とする。
+
+HERDR_SWT_PLUGIN_ID="dotfiles.safe-worktree"
+
+# herdr::plugin_src <dotfiles_root>  リポジトリ内のプラグイン本体のパス
+herdr::plugin_src() {
+    print -r -- "${1}/herdr/plugins/safe-worktree"
+}
+
+# herdr::primary_dotfiles_root [home_dir]
+#   プラグインの登録先として唯一許可する dotfiles チェックアウト。
+#   テストでは DOTFILES_PRIMARY_ROOT で差し替える。
+herdr::primary_dotfiles_root() {
+    print -r -- "${DOTFILES_PRIMARY_ROOT:-${1:-${HOME}}/.dotfiles}"
+}
+
+# herdr::is_primary_root <dotfiles_root> [home_dir]
+#   引数が primary チェックアウトと同一実体なら 0。
+#   linked worktree や一時 clone から実行された場合は 1 を返す。
+herdr::is_primary_root() {
+    local candidate="${1}"
+    local primary
+    primary="$(herdr::primary_dotfiles_root "${2:-${HOME}}")"
+    [[ -d "${candidate}" && -d "${primary}" ]] || return 1
+    [[ "${candidate:A}" == "${primary:A}" ]]
+}
+
+# herdr::plugin_config_dir [home_dir]
+#   プラグイン設定ディレクトリの絶対パス。
+#   herdr CLI が使えるならそちらに聞く（パスの決め方は Herdr 側の都合で変わりうるため）。
+#   使えない場合だけ現行の既定パスへフォールバックする。
+#   home_dir を渡すとフォールバック先をそのホーム基準にする（root から
+#   元ユーザーのホームを検査する migrate の health check 用）。
+herdr::plugin_config_dir() {
+    local home_dir="${1:-${HOME}}"
+
+    # herdr CLI に聞けるのは「自分自身のホームについて尋ねるとき」だけ。
+    # migrate の health check は root で走りつつ元ユーザーのホームを対象にするため、
+    # そこで herdr を呼ぶと root 自身の設定ディレクトリを答えてしまい、
+    # 存在しないパスを検査して必ず失敗する。別ユーザーのホームが対象のときは
+    # 既定パスの組み立てだけを使う。
+    if [[ "${home_dir:A}" == "${HOME:A}" ]] && command -v herdr &>/dev/null; then
+        local dir
+        dir="$(herdr plugin config-dir "${HERDR_SWT_PLUGIN_ID}" 2>/dev/null)"
+        if [[ -n "${dir}" && "${dir}" == /* ]]; then
+            print -r -- "${dir}"
+            return 0
+        fi
+    fi
+    print -r -- "${home_dir}/.config/herdr/plugins/config/${HERDR_SWT_PLUGIN_ID}"
+}
+
+# herdr::allowlist_link <home_dir>  追跡分 allowlist が置かれるべきパス
+herdr::allowlist_link() {
+    print -r -- "$(herdr::plugin_config_dir "${1:-${HOME}}")/repos.json"
+}
diff --git a/setup/migrate.zsh b/setup/migrate.zsh
index b883c4c..0ba03c5 100755
--- a/setup/migrate.zsh
+++ b/setup/migrate.zsh
@@ -31,7 +31,8 @@
 #                                         ため、Phase 3 より前に置く。pam は cutover と同じく
 #                                         root 必須なので同じ Phase にまとめ、sudo プロンプトを
 #                                         1 回にまとめる)
-#   Phase 3: languages, defaults, claude-sync, codex-sync  (root 起動時は元ユーザーへ委譲。
+#   Phase 3: languages, defaults, claude-sync, codex-sync, herdr-sync  (root 起動時は元ユーザーへ
+#                                         委譲。
 #                                         mise は Phase 2 で導入済み)
 #
 # 安全設計:
@@ -81,13 +82,14 @@ set -eu
 
 SETUP_DIR="${0:A:h}"
 source "${SETUP_DIR}/lib/util.zsh"
+source "${SETUP_DIR}/lib/herdr.zsh"
 
 # ---------------------------------------------------------------------------
 # ステップ定義（配列内の並び = 実行順序。Phase 番号が依存順序を表す）
 # ---------------------------------------------------------------------------
 PHASE1_STEPS=(link)
 PHASE2_STEPS=(cutover pam)
-PHASE3_STEPS=(languages defaults claude-sync codex-sync)
+PHASE3_STEPS=(languages defaults claude-sync codex-sync herdr-sync)
 
 migrate::script_for() {
     echo "${SETUP_DIR}/${1}.zsh"
@@ -553,6 +555,22 @@ migrate::health_check() {
 
     [[ -f "${home_dir}/.codex/config.toml" ]] || failures+=("codex-sync: ${home_dir}/.codex/config.toml がありません")
 
+    # herdr plugin の allowlist。パスは herdr-sync.zsh と同じ setup/lib/herdr.zsh の
+    # 解決関数から引く（配置する側と確認する側で別々にパスを組み立てると、Herdr が
+    # 設定ディレクトリの位置を変えたときに health check だけが古い場所を見に行く）。
+    #
+    # 要求する条件も herdr-sync.zsh と揃える。何も配置しないのは「primary チェックアウト
+    # 以外からの実行」のときだけで、そこで symlink を要求すると manifest の success と
+    # health check が食い違う。herdr の有無では gate しない — herdr が無くても
+    # herdr-sync.zsh は既定パスへ allowlist を配置して成功するので、そこを飛ばすと
+    # 「配置されているのに検証しない」死角になる。
+    local dotfiles_root="${SETUP_DIR:h}"
+    if herdr::is_primary_root "${dotfiles_root}" "${home_dir}"; then
+        local swt_config
+        swt_config="$(herdr::allowlist_link "${home_dir}")"
+        [[ -L "${swt_config}" ]] || failures+=("herdr-sync: ${swt_config} が symlink ではありません")
+    fi
+
     if (( ${#failures[@]} > 0 )); then
         util::error "=== health check 失敗: manifest 上は success でも実状態が伴っていません ==="
         local f
@@ -665,7 +683,7 @@ migrate::usage() {
 
 Phase 1: link (root 起動時は元ユーザーへ委譲)
 Phase 2: cutover, pam (root 必須)
-Phase 3: languages, defaults, claude-sync, codex-sync (root 起動時は元ユーザーへ委譲)
+Phase 3: languages, defaults, claude-sync, codex-sync, herdr-sync (root 起動時は元ユーザーへ委譲)
 
 個別スクリプト（link.zsh 等）は内部実装です。実機での実行はこのスクリプトからのみ
 行ってください。詳細は setup/README.md を参照。
diff --git a/setup/tests/herdr-sync.bats b/setup/tests/herdr-sync.bats
new file mode 100644
index 0000000..64caaa1
--- /dev/null
+++ b/setup/tests/herdr-sync.bats
@@ -0,0 +1,285 @@
+#!/usr/bin/env bats
+# setup/tests/herdr-sync.bats
+#
+# 実際の herdr は呼ばない。HOMEBREW_PATH_PREFIX_OVERRIDE で PATH の先頭を
+# スタブディレクトリに差し替え、herdr-sync.zsh から見える `herdr` を偽物にする
+# （util::ensure_homebrew_path が /opt/homebrew/bin を先頭に足すため、
+# PATH に足すだけでは本物が優先されてしまう）。
+
+SETUP_DIR="$(cd "$(dirname "${BATS_TEST_FILENAME}")/.." && pwd)"
+REPO_ROOT="$(cd "${SETUP_DIR}/.." && pwd)"
+PLUGIN_SRC="${REPO_ROOT}/herdr/plugins/safe-worktree"
+
+setup() {
+    export HOME="${BATS_TEST_TMPDIR}/home"
+    mkdir -p "${HOME}"
+    STUB_BIN="${BATS_TEST_TMPDIR}/bin"
+    mkdir -p "${STUB_BIN}"
+    export HERDR_STUB_LOG="${BATS_TEST_TMPDIR}/herdr.log"
+    CONFIG_DIR="${HOME}/.config/herdr/plugins/config/dotfiles.safe-worktree"
+    # 本物のチェックアウトを primary として扱う（primary 以外からの実行は
+    # link も設定配置もしないため、既定のままでは全テストが skip 経路に入る）
+    export DOTFILES_PRIMARY_ROOT="${REPO_ROOT}"
+}
+
+# stub_herdr <registered_plugin_root>
+#   引数が空なら「未登録」を返すスタブ、非空ならそのパスで登録済みを返すスタブを置く。
+stub_herdr() {
+    local registered="${1:-}"
+    cat > "${STUB_BIN}/herdr" <<STUB
+#!/bin/zsh
+print -r -- "\$*" >> "${HERDR_STUB_LOG}"
+case "\${1} \${2}" in
+    "plugin config-dir") print -r -- "${CONFIG_DIR}" ;;
+    "plugin list")
+        if [[ -n "${registered}" ]]; then
+            jq -n --arg root "${registered}" \\
+                '{result: {plugins: [{plugin_id: "dotfiles.safe-worktree", plugin_root: \$root}]}}'
+        else
+            print -r -- '{"result": {"plugins": []}}'
+        fi
+        ;;
+    *) : ;;
+esac
+exit 0
+STUB
+    chmod +x "${STUB_BIN}/herdr"
+    # 2 系統ふさぐ。util::ensure_homebrew_path を通る herdr-sync.zsh 本体は
+    # HOMEBREW_PATH_PREFIX_OVERRIDE で、lib/herdr.zsh だけを source する
+    # 直接呼び出しは PATH 先頭で。どちらか一方だと実 herdr に届く経路が残る
+    # （実際に初版のテストが実 herdr へ `plugin link` を発行した）。
+    export HOMEBREW_PATH_PREFIX_OVERRIDE="${STUB_BIN}"
+    export PATH="${STUB_BIN}:${PATH}"
+}
+
+# assert_no_real_herdr  実 herdr のパスがテストから見えていないこと
+assert_no_real_herdr() {
+    [ "$(command -v herdr)" = "${STUB_BIN}/herdr" ]
+}
+
+# jq はスタブディレクトリ経由では見えないため、PATH 上の本物をそのまま使う
+# （HOMEBREW_PATH_PREFIX_OVERRIDE は先頭に足すだけで既存 PATH を消さない）
+
+@test "zsh -n syntax check passes" {
+    run zsh -n "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+}
+
+@test "links the plugin when it is not registered yet" {
+    stub_herdr ""
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    grep -q "plugin link ${PLUGIN_SRC}" "${HERDR_STUB_LOG}"
+}
+
+@test "does not relink when the registered path already matches" {
+    stub_herdr "${PLUGIN_SRC}"
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    run grep -q "plugin link" "${HERDR_STUB_LOG}"
+    [ "${status}" -ne 0 ]
+    [[ "${output}" != *"plugin unlink"* ]]
+}
+
+@test "relinks when the plugin is registered from a different path" {
+    stub_herdr "${BATS_TEST_TMPDIR}/somewhere-else"
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    grep -q "plugin unlink dotfiles.safe-worktree" "${HERDR_STUB_LOG}"
+    grep -q "plugin link ${PLUGIN_SRC}" "${HERDR_STUB_LOG}"
+}
+
+@test "symlinks the tracked allowlist into the plugin config directory" {
+    stub_herdr ""
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    [ -L "${CONFIG_DIR}/repos.json" ]
+    [ "$(readlink "${CONFIG_DIR}/repos.json")" = "${PLUGIN_SRC}/config/repos.json" ]
+}
+
+@test "seeds the machine-local allowlist only when absent" {
+    stub_herdr ""
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    run jq -e '.repos == []' "${CONFIG_DIR}/repos.local.json"
+    [ "${status}" -eq 0 ]
+
+    echo '{"version":1,"repos":[{"label":"mine","origin":"https://example.com/o/r"}]}' \
+        > "${CONFIG_DIR}/repos.local.json"
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    run jq -r '.repos[0].label' "${CONFIG_DIR}/repos.local.json"
+    [ "${output}" = "mine" ]
+}
+
+@test "stays fail-open and still places the allowlist when herdr is missing" {
+    # herdr だけが居ない PATH を作る。jq は Homebrew prefix にあり、そこには herdr も
+    # 居るため、ディレクトリごと通すのではなく必要な実行体だけを symlink する。
+    minimal="${BATS_TEST_TMPDIR}/minimal-bin"
+    mkdir -p "${minimal}"
+    ln -s "$(command -v jq)" "${minimal}/jq"
+    export HOMEBREW_PATH_PREFIX_OVERRIDE="${minimal}"
+
+    run env PATH="${minimal}:/usr/bin:/bin" zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"herdr CLI 未インストール"* ]]
+    [ -L "${CONFIG_DIR}/repos.json" ]
+}
+
+@test "migrate.zsh runs herdr-sync as part of phase 3" {
+    grep -q 'PHASE3_STEPS=(languages defaults claude-sync codex-sync herdr-sync)' \
+        "${SETUP_DIR}/migrate.zsh"
+}
+
+@test "migrate health check verifies the allowlist symlink" {
+    grep -q 'herdr-sync: .* が symlink ではありません' "${SETUP_DIR}/migrate.zsh"
+}
+
+# --- primary チェックアウト以外からの実行 (H1) ------------------------------
+
+@test "skips both link and config placement when run from a non-primary checkout" {
+    stub_herdr ""
+    # primary を実在する別ディレクトリに向け、リポジトリ自身を非 primary にする
+    export DOTFILES_PRIMARY_ROOT="${BATS_TEST_TMPDIR}/elsewhere"
+    mkdir -p "${DOTFILES_PRIMARY_ROOT}"
+
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    [[ "${output}" == *"primary チェックアウト以外"* ]]
+
+    # plugin を登録していない
+    run grep -q "plugin link" "${HERDR_STUB_LOG}"
+    [ "${status}" -ne 0 ]
+    # 設定も置いていない（片方だけ実行して不整合を残さない）
+    [ ! -e "${CONFIG_DIR}/repos.json" ]
+    [ ! -e "${CONFIG_DIR}/repos.local.json" ]
+}
+
+@test "skips when the primary checkout does not exist at all" {
+    stub_herdr ""
+    export DOTFILES_PRIMARY_ROOT="${BATS_TEST_TMPDIR}/missing"
+
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    [ ! -e "${CONFIG_DIR}/repos.json" ]
+}
+
+@test "relinks a plugin that is registered from a disposable worktree path" {
+    # 使い捨て worktree のパスで登録済みの状態から、primary へ張り替わること
+    stub_herdr "${BATS_TEST_TMPDIR}/herdr-worktrees/.dotfiles/feat-x/herdr/plugins/safe-worktree"
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    grep -q "plugin unlink dotfiles.safe-worktree" "${HERDR_STUB_LOG}"
+    grep -q "plugin link ${PLUGIN_SRC}" "${HERDR_STUB_LOG}"
+}
+
+# --- health check とパス解決の共有 (H3) -------------------------------------
+
+@test "migrate health check resolves the allowlist path through setup/lib/herdr.zsh" {
+    grep -q 'herdr::allowlist_link' "${SETUP_DIR}/migrate.zsh"
+    run grep -q "\.config/herdr/plugins/config/dotfiles.safe-worktree/repos.json" "${SETUP_DIR}/migrate.zsh"
+    [ "${status}" -ne 0 ]
+}
+
+@test "herdr-sync and the health check agree on the allowlist path" {
+    stub_herdr ""
+    assert_no_real_herdr
+    run zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+
+    run zsh -c "source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::allowlist_link '${HOME}'"
+    [ "${status}" -eq 0 ]
+    [ -L "${output}" ]
+    [ "${output}" = "${CONFIG_DIR}/repos.json" ]
+}
+
+@test "plugin config dir falls back to the given home when herdr is unavailable" {
+    minimal="${BATS_TEST_TMPDIR}/minimal-bin"
+    mkdir -p "${minimal}"
+    run env PATH="${minimal}:/usr/bin:/bin" zsh -c "source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::allowlist_link '/tmp/other-home'"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "/tmp/other-home/.config/herdr/plugins/config/dotfiles.safe-worktree/repos.json" ]
+}
+
+@test "repos.local.json inside the repository is gitignored" {
+    run git -C "${REPO_ROOT}" check-ignore -q "herdr/plugins/safe-worktree/config/repos.local.json"
+    [ "${status}" -eq 0 ]
+}
+
+# --- 別ユーザーの home を対象にした解決 (指摘 1) ------------------------------
+
+@test "plugin config dir does not consult herdr when resolving another user's home" {
+    stub_herdr ""
+    assert_no_real_herdr
+    # スタブは常に「呼ばれた側の」設定ディレクトリを返す。別ユーザーの home を
+    # 渡したときにそれを採用してしまうと、root で走る health check が root 自身の
+    # 設定ディレクトリを検査してしまう。
+    run zsh -c "source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::allowlist_link '/Users/someone-else'"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "/Users/someone-else/.config/herdr/plugins/config/dotfiles.safe-worktree/repos.json" ]
+    # herdr は一度も呼ばれていない
+    [ ! -s "${HERDR_STUB_LOG}" ]
+}
+
+@test "plugin config dir does consult herdr for the caller's own home" {
+    stub_herdr ""
+    assert_no_real_herdr
+    run zsh -c "source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::plugin_config_dir '${HOME}'"
+    [ "${status}" -eq 0 ]
+    [ "${output}" = "${CONFIG_DIR}" ]
+    grep -q "plugin config-dir dotfiles.safe-worktree" "${HERDR_STUB_LOG}"
+}
+
+# --- primary 条件を health check と揃える (指摘 2) ---------------------------
+
+@test "migrate health check gates the allowlist requirement on the primary condition only" {
+    grep -q 'herdr::is_primary_root "${dotfiles_root}" "${home_dir}"' "${SETUP_DIR}/migrate.zsh"
+    # herdr の有無では gate しない。herdr が無くても herdr-sync.zsh は allowlist を
+    # 配置して成功するので、そこで飛ばすと「配置されているのに検証しない」死角になる
+    run grep -q 'migrate::command_available herdr' "${SETUP_DIR}/migrate.zsh"
+    [ "${status}" -ne 0 ]
+}
+
+@test "herdr-sync still places the allowlist when herdr is missing, so the check must not skip" {
+    minimal="${BATS_TEST_TMPDIR}/minimal-bin"
+    mkdir -p "${minimal}"
+    ln -s "$(command -v jq)" "${minimal}/jq"
+    export HOMEBREW_PATH_PREFIX_OVERRIDE="${minimal}"
+
+    run env PATH="${minimal}:/usr/bin:/bin" zsh "${SETUP_DIR}/herdr-sync.zsh"
+    [ "${status}" -eq 0 ]
+    [ -L "${CONFIG_DIR}/repos.json" ]
+
+    # health check が見に行くパスと一致していること（herdr 不在でも検証対象になる）
+    run env PATH="${minimal}:/usr/bin:/bin" zsh -c "source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::allowlist_link '${HOME}'"
+    [ "${output}" = "${CONFIG_DIR}/repos.json" ]
+    [ -L "${output}" ]
+}
+
+@test "is_primary_root honours an explicitly passed home directory" {
+    unset DOTFILES_PRIMARY_ROOT
+    other_home="${BATS_TEST_TMPDIR}/other-home"
+    mkdir -p "${other_home}/.dotfiles"
+
+    run zsh -c "unset DOTFILES_PRIMARY_ROOT
+        source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::is_primary_root '${other_home}/.dotfiles' '${other_home}'"
+    [ "${status}" -eq 0 ]
+
+    run zsh -c "unset DOTFILES_PRIMARY_ROOT
+        source '${SETUP_DIR}/lib/util.zsh'
+        source '${SETUP_DIR}/lib/herdr.zsh'
+        herdr::is_primary_root '${REPO_ROOT}' '${other_home}'"
+    [ "${status}" -ne 0 ]
+}