Что хранится и где

Какие данные лежат у Nolay, какие только на вашем сервере и что видит поддержка.

Главное правило: код, данные и значения секретов живут на вашем сервере и в вашем хранилище. У Nolay только настройки и служебная информация, без которой панель не может показать состояние.

Кратко

Данные	Где лежат	У Nolay
Исходный код	на сервере, в `/var/lib/nolay` на время сборки	нет
Образы контейнеров	в Docker на сервере	нет
Данные проектов (тома, базы)	на сервере	нет
Значения секретов	на сервере, зашифрованы	нет, только имена ключей
Бэкапы	в вашем S3-хранилище	нет, ключи S3 тоже у вас
Логи приложения	на сервере, в панель идут потоком по запросу	нет, панель их не сохраняет
Аккаунт, организация, роли	в базе панели	да
Настройки проектов и история версий	в базе панели	да
События, метрики, журнал действий	в базе панели и hub	да

Панель

Хранит аккаунт, организацию, серверы и проекты с их настройками, историю версий, события и метрики серверов. Секреты хранит только именами и отпечатком набора. Архив с кодом проходит через панель потоком и не сохраняется.

Hub

Хранит список агентов и их токены, очередь команд до доставки, события и метрики. Архив, залитый через панель, лежит на hub не дольше 15 минут, пока агент его не заберёт. Значения секретов в очереди команд зашифрованы.

Ваш сервер

Путь	Что там
`/etc/nolay/agent.toml`	конфиг агента
`/etc/nolay/agent.token`	токен подключения
`/etc/nolay/agent.key`	ключ шифрования секретов, в бэкапы не входит и на hub не уходит
`/var/lib/nolay`	база агента (SQLite), исходники сборок, кэш репозиториев
`/var/lib/nolay/caddy`	сертификаты и состояние прокси

Копия базы агента без agent.key секретов не раскрывает.

Что видит поддержка

Поддержка видит то же, что хранит панель: имена серверов и проектов, настройки, статусы и события. Доступа к серверу у Nolay нет: у агента закрытый список команд, выполнить на сервере произвольную команду через Nolay нельзя. Значения секретов и содержимое баз поддержке недоступны, потому что их нет у Nolay.

Как проверить самому

# агент не слушает входящих портов
ss -tulpn
# агент работает не от root
ps -o user,pid,cmd -C nolay-agent
# в статусе только имена секретов
sudo nolay-agent status

Что дальше

Безопасность: модель доверия и права агента.