diff --git a/start-cloudflared.sh b/start-cloudflared.sh
index a03c089..7d04335 100755
--- a/start-cloudflared.sh
+++ b/start-cloudflared.sh
@@ -6,8 +6,12 @@ set -e
 # cloudflared стартует сразу, как в базовой схеме Quick Tunnel.
 if [ -f /etc/wireguard/wg0.conf ]; then
   echo "WireGuard config found, bringing up wg0..."
+  # Папка wg/ смонтирована :ro, поэтому копируем в /tmp и ставим 600, чтобы
+  # wg-quick не ругался на world-accessible файл приватного ключа.
+  cp /etc/wireguard/wg0.conf /tmp/wg0.conf
+  chmod 600 /tmp/wg0.conf
   cp /etc/resolv.conf /tmp/resolv.conf.default
-  wg-quick up wg0
+  wg-quick up /tmp/wg0.conf
   # wg-quick/resolvconf перезаписывает resolv.conf (убирает docker-DNS 127.0.0.11),
   # из-за чего внутреннее имя app не резолвится. Восстанавливаем прежний конфиг.
   cat /tmp/resolv.conf.default > /etc/resolv.conf