> ## Documentation Index > Fetch the complete documentation index at: https://docs2.openclaw.ai/llms.txt > Use this file to discover all available pages before exploring further. # Секреты # `openclaw secrets` Управляйте SecretRef и поддерживайте активный снимок среды выполнения в исправном состоянии. | Команда | Назначение | | - | - | | `reload` | RPC Gateway (`secrets.reload`): повторно разрешает ссылки и заменяет снимок среды выполнения только при полном успехе (без записи конфигурации) | | `audit` | Сканирование хранилищ конфигурации, аутентификации и сгенерированных моделей, а также устаревших остатков в режиме только для чтения: поиск открытого текста, неразрешённых ссылок и расхождений приоритетов (exec-ссылки пропускаются без `--allow-exec`) | | `configure` | Интерактивный планировщик настройки провайдеров, сопоставления целей и предварительной проверки (требуется TTY) | | `apply` | Выполняет сохранённый план (`--dry-run` только проверяет и по умолчанию пропускает проверки exec; режим записи отклоняет планы с exec без `--allow-exec`), затем удаляет целевые остатки открытого текста | Рекомендуемый рабочий цикл оператора: ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets audit --check openclaw secrets configure openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --dry-run openclaw secrets apply --from /tmp/openclaw-secrets-plan.json openclaw secrets audit --check openclaw secrets reload ``` Если план включает SecretRef/провайдеры `exec`, передайте `--allow-exec` обеим командам `apply`: для пробного запуска и записи. Коды завершения для CI/шлюзов проверки: * `audit --check` возвращает `1` при обнаружении проблем. * Неразрешённые ссылки возвращают `2` (независимо от `--check`). См. также: [Управление секретами](https://docs2.openclaw.ai/ru/gateway/secrets.md) · [Поверхность учётных данных SecretRef](https://docs2.openclaw.ai/ru/reference/secretref-credential-surface.md) · [Безопасность](https://docs2.openclaw.ai/ru/gateway/security.md) ## Перезагрузка снимка среды выполнения ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets reload openclaw secrets reload --json openclaw secrets reload --url ws://127.0.0.1:18789 --token ``` Использует метод RPC Gateway `secrets.reload`. Если разрешение завершается ошибкой, Gateway сохраняет последний заведомо исправный снимок и возвращает ошибку (частичной активации не происходит). Ответ JSON включает `warningCount`. Параметры: `--url `, `--token `, `--timeout `, `--json`. ## Аудит Сканирует состояние OpenClaw на наличие: * хранения секретов в открытом виде * неразрешённых ссылок * расхождений приоритетов (учётные данные `auth-profiles.json`, перекрывающие ссылки `openclaw.json`) * остатков сгенерированных `agents/*/agent/models.json` (значения `apiKey` провайдера и конфиденциальные заголовки провайдера) * устаревших остатков (записи устаревшего хранилища аутентификации, напоминания OAuth) Обнаружение конфиденциальных заголовков провайдеров основано на эвристике имён: отмечаются заголовки, имена которых соответствуют распространённым фрагментам, связанным с аутентификацией или учётными данными (`authorization`, `x-api-key`, `token`, `secret`, `password`, `credential`). ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets audit openclaw secrets audit --check openclaw secrets audit --json openclaw secrets audit --allow-exec ``` Структура отчёта: * `status`: `clean | findings | unresolved` * `resolution`: `refsChecked`, `skippedExecRefs`, `resolvabilityComplete` * `summary`: `plaintextCount`, `unresolvedRefCount`, `shadowedRefCount`, `legacyResidueCount` * коды обнаруженных проблем: `PLAINTEXT_FOUND`, `REF_UNRESOLVED`, `REF_SHADOWED`, `LEGACY_RESIDUE` ## Настройка (интерактивный помощник) Интерактивно сформируйте изменения провайдеров и SecretRef, выполните предварительную проверку и при необходимости примените их: ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets configure openclaw secrets configure --plan-out /tmp/openclaw-secrets-plan.json openclaw secrets configure --apply --yes openclaw secrets configure --providers-only openclaw secrets configure --skip-provider-setup openclaw secrets configure --agent ops openclaw secrets configure --json ``` Порядок: сначала настройка провайдеров (добавление, изменение и удаление псевдонимов `secrets.providers`), затем сопоставление учётных данных (выбор полей и назначение ссылок `{source, provider, id}`), после этого предварительная проверка и необязательное применение. Флаги: * `--providers-only`: настроить только `secrets.providers`, пропустив сопоставление учётных данных * `--skip-provider-setup`: пропустить настройку провайдеров и сопоставить учётные данные с существующими провайдерами * `--agent `: ограничить обнаружение целей `auth-profiles.json` и запись одним хранилищем агента * `--allow-exec`: разрешить проверки exec SecretRef во время предварительной проверки и применения (могут выполняться команды провайдера) `--providers-only` и `--skip-provider-setup` нельзя использовать вместе. Примечания: * Требуется интерактивный TTY. * Обрабатывает содержащие секреты поля в `openclaw.json`, а также `auth-profiles.json` для выбранной области агента; каноническая поддерживаемая поверхность: [Поверхность учётных данных SecretRef](https://docs2.openclaw.ai/ru/reference/secretref-credential-surface.md). * Поддерживает создание новых сопоставлений `auth-profiles.json` непосредственно в процессе выбора. * Перед применением выполняет предварительное разрешение. * В создаваемых планах параметры очистки включены по умолчанию (`scrubEnv`, `scrubAuthProfilesForProviderTargets`, `scrubLegacyAuthJson`). Для очищенных значений открытого текста применение необратимо. * Без `--apply` CLI всё равно запрашивает `Apply this plan now?` после предварительной проверки. * С `--apply` (и без `--yes`) CLI запрашивает дополнительное подтверждение необратимой миграции. * `--json` выводит план и отчёт предварительной проверки, но по-прежнему требует интерактивный TTY. ### Безопасность exec-провайдеров Установки Homebrew часто предоставляют двоичные файлы через символические ссылки в `/opt/homebrew/bin/*`. Задавайте `allowSymlinkCommand: true` только при необходимости для доверенных путей менеджера пакетов и вместе с `trustedDirs` (например, `["/opt/homebrew"]`). В Windows, если для пути провайдера недоступна проверка ACL, OpenClaw применяет запрет по умолчанию; только для доверенных путей задайте `allowInsecurePath: true` для этого провайдера, чтобы обойти проверку безопасности пути. ## Применение сохранённого плана ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets apply --from /tmp/openclaw-secrets-plan.json openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --allow-exec openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --dry-run openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --dry-run --allow-exec openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --json ``` `--dry-run` выполняет предварительную проверку без записи файлов; при пробном запуске проверки exec SecretRef по умолчанию пропускаются. Режим записи отклоняет планы, содержащие exec SecretRef/провайдеры, без `--allow-exec`. Используйте `--allow-exec`, чтобы явно разрешить проверки и выполнение exec-провайдеров в любом режиме. Что может обновлять `apply`: * `openclaw.json` (цели SecretRef, а также добавление, обновление и удаление провайдеров) * `auth-profiles.json` (очистка целей провайдеров) * устаревшие остатки `auth.json` * известные секретные ключи `~/.openclaw/.env`, значения которых были перенесены Подробности контракта плана (разрешённые пути целей, правила проверки, семантика ошибок): [Контракт плана применения секретов](https://docs2.openclaw.ai/ru/gateway/secrets-plan-contract.md). ### Почему резервные копии для отката не создаются `secrets apply` намеренно не создаёт резервные копии для отката, содержащие старые значения в открытом виде. Безопасность обеспечивается строгой предварительной проверкой и условно атомарным применением с попыткой восстановления в памяти при ошибке. ## Пример ```bash theme={"theme":{"light":"min-light","dark":"min-dark"}} openclaw secrets audit --check openclaw secrets configure openclaw secrets audit --check ``` Если `audit --check` по-прежнему сообщает о значениях в открытом виде, обновите остальные указанные пути целей и повторно запустите аудит. ## См. также * [Справочник CLI](https://docs2.openclaw.ai/ru/cli.md) * [Управление секретами](https://docs2.openclaw.ai/ru/gateway/secrets.md) * [SecretRef Vault](https://docs2.openclaw.ai/ru/plugins/vault.md)