# Что хранится и где

URL: https://docs.nolay.ru/concepts/data/
Updated: 2026-09-23

> Какие данные лежат у Nolay, какие только на вашем сервере и что видит поддержка.

Главное правило: код, данные и значения секретов живут на вашем сервере и в вашем хранилище. У Nolay только настройки и служебная информация, без которой панель не может показать состояние.

## Кратко

| Данные | Где лежат | У Nolay |
|---|---|---|
| Исходный код | на сервере, в `/var/lib/nolay` на время сборки | нет |
| Образы контейнеров | в Docker на сервере | нет |
| Данные проектов (тома, базы) | на сервере | нет |
| Значения секретов | на сервере, зашифрованы | нет, только имена ключей |
| Бэкапы | в вашем S3-хранилище | нет, ключи S3 тоже у вас |
| Логи приложения | на сервере, в панель идут потоком по запросу | нет, панель их не сохраняет |
| Аккаунт, организация, роли | в базе панели | да |
| Настройки проектов и история версий | в базе панели | да |
| События, метрики, журнал действий | в базе панели и hub | да |

## Панель

Хранит аккаунт, организацию, серверы и проекты с их настройками, историю версий, события и метрики серверов. Секреты хранит только именами и отпечатком набора. Архив с кодом проходит через панель потоком и не сохраняется.

## Hub

Хранит список агентов и их токены, очередь команд до доставки, события и метрики. Архив, залитый через панель, лежит на hub не дольше 15 минут, пока агент его не заберёт. Значения секретов в очереди команд зашифрованы.

## Ваш сервер

| Путь | Что там |
|---|---|
| `/etc/nolay/agent.toml` | конфиг агента |
| `/etc/nolay/agent.token` | токен подключения |
| `/etc/nolay/agent.key` | ключ шифрования секретов, в бэкапы не входит и на hub не уходит |
| `/var/lib/nolay` | база агента (SQLite), исходники сборок, кэш репозиториев |
| `/var/lib/nolay/caddy` | сертификаты и состояние прокси |

Копия базы агента без `agent.key` секретов не раскрывает.

## Что видит поддержка

Поддержка видит то же, что хранит панель: имена серверов и проектов, настройки, статусы и события. Доступа к серверу у Nolay нет: у агента закрытый список команд, выполнить на сервере произвольную команду через Nolay нельзя. Значения секретов и содержимое баз поддержке недоступны, потому что их нет у Nolay.

## Как проверить самому

```sh
# агент не слушает входящих портов
ss -tulpn
# агент работает не от root
ps -o user,pid,cmd -C nolay-agent
# в статусе только имена секретов
sudo nolay-agent status
```

## Что дальше

[Безопасность](/security/): модель доверия и права агента.