Секреты

Передать проекту пароли и ключи так, чтобы их значения не хранились в панели и не попадали в репозиторий.

Секрет это переменная окружения со значением, которое нельзя класть в репозиторий: пароль базы, ключ API, токен. После этой страницы секреты будут у проекта, а их значения только на вашем сервере.

Как задать

Откройте проект в панели, вкладка «Секреты».
В блоке «Добавить или заменить» впишите ключ и значение, «Добавить строку» даёт следующую. Можно вставить в поле ключа целый файл .env или переключиться в режим «.env».
Нажмите «Сохранить секреты». Над кнопкой видно, сколько ключей добавится, изменится и удалится. Панель отправит набор агенту, и проект перезапустится с новыми переменными. Образ при этом не пересобирается.

Страница «Секреты» проекта — Сохранённые ключи видны только именами, значение можно лишь заменить новым.

Где хранятся значения

Где	Что там
Панель	Только имена ключей и отпечаток набора. Значений нет ни в базе, ни в журнале действий
Hub	Значение проходит транзитом: в очереди команд оно лежит зашифрованным до доставки агенту
Ваш сервер	Значения зашифрованы AES-256-GCM ключом `/etc/nolay/agent.key` в базе агента

Посмотреть значение повторно после сохранения нельзя нигде, даже командой nolay-agent status: она печатает только имена.

Секреты и `[env]`

Несекретные переменные можно держать в nolay.toml:

[env]
NODE_ENV = "production"
LOG_LEVEL = "info"

Секреты и [env] попадают в контейнер вместе. Если ключ есть и там, и там, побеждает секрет. Ключи пишутся заглавными латинскими буквами, цифрами и _.

Служебные ключи `NOLAY_*`

Ключи с приставкой NOLAY_ нужны самому агенту и в контейнер приложения не попадают никогда:

Ключ	Зачем
`NOLAY_GIT_TOKEN`	доступ к закрытому репозиторию по HTTPS
`NOLAY_GIT_SSH_KEY`	доступ к закрытому репозиторию по SSH, многострочным значением
`NOLAY_GIT_SSH_KNOWN_HOSTS`	ключи хоста Git; без него агент запоминает ключ хоста при первом подключении и дальше сверяет с ним
`NOLAY_S3_ENDPOINT`, `NOLAY_S3_BUCKET`, `NOLAY_S3_ACCESS_KEY`, `NOLAY_S3_SECRET_KEY`	хранилище для бэкапов

Если не получилось

Что видно	Почему	Что сделать
Приложение не видит переменную	Ключ начинается с `NOLAY_`	Переименуйте ключ
Код `no_secrets_key`	На сервере нет ключа шифрования	Запустите команду установки ещё раз
Нужно узнать сохранённое значение	Панель его не хранит	Возьмите значение из источника (менеджер паролей, консоль сервиса) и при необходимости задайте заново

Что дальше

Прочитайте, что хранится и где.