diff --git a/.gitignore b/.gitignore
index 16c69ed..45db0ef 100644
--- a/.gitignore
+++ b/.gitignore
@@ -36,3 +36,6 @@ config/*.env
 
 # MCP config con token (solo .example tracciato)
 .mcp.json
+
+# Override locale compose (specifico macchina, fix daemon vecchi, ecc.)
+docker-compose.local.yml
diff --git a/DEPLOYMENT.md b/DEPLOYMENT.md
index cbc9437..2eef10e 100644
--- a/DEPLOYMENT.md
+++ b/DEPLOYMENT.md
@@ -137,6 +137,21 @@ e secrets, ricarica config dal branch `main` aggiornato).
 `SECRETS_SRC` (default `$DEPLOY_DIR/secrets`), `AUDIT_LOG_DIR` (default
 `/var/log/cerbero-mcp`).
 
+**Override compose locale (`docker-compose.local.yml`)**: lo script
+include automaticamente come ultimo `-f` un eventuale
+`$DEPLOY_DIR/docker-compose.local.yml`. Utile per fix specifici della
+macchina (es. forzare `DOCKER_API_VERSION` su watchtower se il daemon
+del VPS è più vecchio dell'API attesa). File gitignored per design —
+non viene scaricato dal repo, lo crei a mano sul VPS. Esempio:
+
+```yaml
+# /docker/cerbero_mcp/docker-compose.local.yml
+services:
+  watchtower:
+    environment:
+      DOCKER_API_VERSION: "1.44"
+```
+
 ### Modalità behind-Traefik
 
 Se sul VPS gira già un Traefik (es. lo stesso VPS di Gitea), prima di
diff --git a/scripts/deploy-noclone.sh b/scripts/deploy-noclone.sh
index e7d6759..22db68b 100755
--- a/scripts/deploy-noclone.sh
+++ b/scripts/deploy-noclone.sh
@@ -164,6 +164,12 @@ if [ "${BEHIND_TRAEFIK:-false}" = "true" ]; then
     echo "=== Modalità behind-traefik attiva (network ${TRAEFIK_NETWORK:-gitea_traefik-public}) ==="
     COMPOSE_FILES+=("-f" "docker-compose.traefik.yml")
 fi
+# Override locale specifico macchina (es. fix DOCKER_API_VERSION watchtower).
+# Non versionato (in .gitignore), creato a mano sul VPS se serve.
+if [ -f "docker-compose.local.yml" ]; then
+    echo "=== Override locale rilevato: docker-compose.local.yml ==="
+    COMPOSE_FILES+=("-f" "docker-compose.local.yml")
+fi
 
 echo "=== docker compose pull + up ==="
 docker compose "${COMPOSE_FILES[@]}" --env-file .env pull