Referencia técnica
Superficie de Credenciales SecretRef
Esta página define la superficie canónica de credenciales SecretRef. Intención del alcance:
- En alcance: estrictamente credenciales proporcionadas por el usuario que OpenClaw no genera ni rota.
- Fuera de alcance: credenciales generadas en tiempo de ejecución o rotativas, material de actualización OAuth y artefactos similares a sesiones.
Credenciales admitidas
Destinos en openclaw.json (secrets configure + secrets apply + secrets audit)
models.providers.*.apiKeymodels.providers.*.headers.*skills.entries.*.apiKeyagents.defaults.memorySearch.remote.apiKeyagents.list[].memorySearch.remote.apiKeytalk.apiKeytalk.providers.*.apiKeymessages.tts.elevenlabs.apiKeymessages.tts.openai.apiKeytools.web.search.apiKeytools.web.search.gemini.apiKeytools.web.search.grok.apiKeytools.web.search.kimi.apiKeytools.web.search.perplexity.apiKeygateway.auth.passwordgateway.auth.tokengateway.remote.tokengateway.remote.passwordcron.webhookTokenchannels.telegram.botTokenchannels.telegram.webhookSecretchannels.telegram.accounts.*.botTokenchannels.telegram.accounts.*.webhookSecretchannels.slack.botTokenchannels.slack.appTokenchannels.slack.userTokenchannels.slack.signingSecretchannels.slack.accounts.*.botTokenchannels.slack.accounts.*.appTokenchannels.slack.accounts.*.userTokenchannels.slack.accounts.*.signingSecretchannels.discord.tokenchannels.discord.pluralkit.tokenchannels.discord.voice.tts.elevenlabs.apiKeychannels.discord.voice.tts.openai.apiKeychannels.discord.accounts.*.tokenchannels.discord.accounts.*.pluralkit.tokenchannels.discord.accounts.*.voice.tts.elevenlabs.apiKeychannels.discord.accounts.*.voice.tts.openai.apiKeychannels.irc.passwordchannels.irc.nickserv.passwordchannels.irc.accounts.*.passwordchannels.irc.accounts.*.nickserv.passwordchannels.bluebubbles.passwordchannels.bluebubbles.accounts.*.passwordchannels.feishu.appSecretchannels.feishu.verificationTokenchannels.feishu.accounts.*.appSecretchannels.feishu.accounts.*.verificationTokenchannels.msteams.appPasswordchannels.mattermost.botTokenchannels.mattermost.accounts.*.botTokenchannels.matrix.passwordchannels.matrix.accounts.*.passwordchannels.nextcloud-talk.botSecretchannels.nextcloud-talk.apiPasswordchannels.nextcloud-talk.accounts.*.botSecretchannels.nextcloud-talk.accounts.*.apiPasswordchannels.zalo.botTokenchannels.zalo.webhookSecretchannels.zalo.accounts.*.botTokenchannels.zalo.accounts.*.webhookSecretchannels.googlechat.serviceAccounta través del campo hermanoserviceAccountRef(excepción de compatibilidad)channels.googlechat.accounts.*.serviceAccounta través del campo hermanoserviceAccountRef(excepción de compatibilidad)
Destinos en auth-profiles.json (secrets configure + secrets apply + secrets audit)
profiles.*.keyRef(type: "api_key")profiles.*.tokenRef(type: "token")
Notas:
- Los destinos de plan de perfil de autenticación requieren
agentId. - Las entradas del plan apuntan a
profiles.*.key/profiles.*.tokeny escriben referencias hermanas (keyRef/tokenRef). - Las referencias de perfil de autenticación están incluidas en la resolución en tiempo de ejecución y la cobertura de auditoría.
- Para proveedores de modelos gestionados por SecretRef, las entradas generadas en
agents/*/agent/models.jsonpersisten marcadores no secretos (no valores secretos resueltos) para las superficiesapiKey/header. - Para búsqueda web:
- En modo de proveedor explícito (
tools.web.search.providerestablecido), solo la clave del proveedor seleccionado está activa. - En modo automático (
tools.web.search.providersin establecer),tools.web.search.apiKeyy las claves específicas del proveedor están activas.
- En modo de proveedor explícito (
Credenciales no admitidas
Las credenciales fuera de alcance incluyen:
commands.ownerDisplaySecretchannels.matrix.accessTokenchannels.matrix.accounts.*.accessTokenhooks.tokenhooks.gmail.pushTokenhooks.mappings[].sessionKeyauth-profiles.oauth.*discord.threadBindings.*.webhookTokenwhatsapp.creds.json
Razón:
- Estas credenciales son de clases generadas, rotativas, que portan sesión o durables OAuth que no se ajustan a la resolución de SecretRef externa de solo lectura.