SecretRef-Credential-Oberflaeche

Diese Seite definiert die kanonische SecretRef-Credential-Oberflaeche.

Scope-Absicht:

• Im Scope: strikt vom Benutzer bereitgestellte Credentials, die OpenClaw nicht erzeugt oder rotiert.
• Ausser Scope: zur Laufzeit erzeugte oder rotierende Credentials, OAuth-Refresh-Material und session-artige Artefakte.

Unterstuetzte Credentials

openclaw.json-Ziele (secrets configure + secrets apply + secrets audit)

• models.providers.*.apiKey
• models.providers.*.headers.*
• skills.entries.*.apiKey
• agents.defaults.memorySearch.remote.apiKey
• talk.apiKey / talk.providers.*.apiKey
• tools.web.fetch.firecrawl.apiKey
• tools.web.search.apiKey / .gemini.apiKey / .grok.apiKey / .kimi.apiKey / .perplexity.apiKey
• gateway.auth.password / gateway.auth.token / gateway.remote.token / gateway.remote.password
• cron.webhookToken
• Channel-spezifische Tokens (Telegram, Slack, Discord, IRC, BlueBubbles, Feishu, MS Teams, Mattermost, Matrix, Nextcloud Talk, Zalo, Google Chat)

auth-profiles.json-Ziele

• profiles.*.keyRef (type: "api_key")
• profiles.*.tokenRef (type: "token")

Nicht unterstuetzte Credentials

Ausser Scope: commands.ownerDisplaySecret, channels.matrix.accessToken, hooks.token, hooks.gmail.pushToken, auth-profiles.oauth.*, discord.threadBindings.*.webhookToken, whatsapp.creds.json.

Begruendung: Diese Credentials sind erzeugte, rotierende, session-tragende oder OAuth-dauerhafte Klassen, die nicht in die read-only externe SecretRef-Aufloesung passen.