# Секреты приложений через `*_FILE`, а не inline `environment:`

**Приоритет:** средний

miniflux сделан правильно — роль `secrets` кладёт каждую переменную vault в
отдельный файл, каталог монтируется `:ro`, а compose ссылается на `*_FILE`
(`files/miniflux/docker-compose.template.yml`). Остальные держат секреты прямыми
значениями в `environment:`: их читает любой член группы `docker`, любой процесс
с доступом к `/proc/<pid>/environ`, и они попадают в `docker inspect`.

tuwunel из списка убран: в его compose секретов нет (сверено 2026-07-25). memos и
calibre тоже чистые.

## Матрица поддержки (проверено по исходникам, 2026-07-25)

Проверялись **закреплённые в compose версии**, не `main`.

| Приложение | Секрет | Файл | Механизм |
|---|---|---|---|
| **outline** `1.9.2` | `SECRET_KEY`, `UTILS_SECRET`, OIDC, SMTP | да | generic: `environment.ts` оборачивает `process.env` в Proxy, пустая переменная читается из `<NAME>_FILE`. С v1.7.0 |
| | пароль postgres | да, с оговоркой | `DATABASE_URL_FILE` выносит URL целиком; чтобы вынести только пароль — раздельные `DATABASE_HOST/PORT/NAME/USER` + `DATABASE_PASSWORD_FILE` (взаимоисключимы с `DATABASE_URL`) |
| | пароль сайдкара postgres | да | штатный `POSTGRES_PASSWORD_FILE` официального образа |
| **wakapi** `2.17.5` | salt, SMTP, OIDC | да | два пути: generic `_FILE` в `loadSecretFiles()` (с 2.17.2, в README список устарел) либо `config.yml` в `/app/config.yml` |
| **gitea** `1.27.0` | SMTP | да, частично | `GITEA__mailer__PASSWD__FILE`, работает для любого ключа `app.ini`, с 1.20 |
| **gramps** `26.7.0` | `GRAMPSWEB_SECRET_KEY` | да | entrypoint читает `/app/secret/secret`, если переменная не задана. **Путь уже смонтирован** в нашем compose |
| | SMTP | нет | обходной путь есть, но недокументированный: `config.cfg` исполняется Flask как Python, значит `EMAIL_HOST_PASSWORD = open(...).read()` сработает |
| **authelia** `4.39.20` | jwt-секрет, session, ключ хранилища, hmac OIDC, SMTP | да | `AUTHELIA_..._FILE` |
| | jwks-ключ, `client_secret` × 4 | нет через `_FILE` | `IsSecretKey()` отвергает ключи с `[]`. Покрывается template-фильтром: `X_AUTHELIA_CONFIG_FILTERS=template` + `{{ secret "путь" }}` (с 4.38) |
| **tududi** `1.2.4` | все четыре | **нет** | всё через `process.env`; ни `_FILE`, ни конфига, ни CLI |
| **wanderer** `0.18.3` | мастер-ключ meilisearch | **нет** | только CLI/env/инлайн в `config.toml`; апстрим отклонил запрос в 2023 |
| | ключ шифрования pocketbase | **нет** | собственная переменная wanderer, не штатный `--encryptionEnv` pocketbase; ENTRYPOINT в exec-форме, подстановку не сделать |

## Что из этого следует

Самое дешёвое — **gramps**: каталог `/app/secret` уже смонтирован, достаточно
записать туда значение и убрать переменную из `environment:`. Оба сервиса
(`gramps_app` и `gramps_celery`) читают тот же файл через общий entrypoint.

**Authelia** выгоднее переводить не на `_FILE`, а целиком на template-фильтр:
`_FILE` покрывает пять полей из семи, фильтр — все разом, и смешивать их в одном
поле нельзя (`errFmtSecretAlreadyDefined`). Отдельная находка: четыре
`client_secret` штатно хранятся **хэшем** `$pbkdf2-sha512$...` (у нас уже есть
`inv authelia-gen-secret-and-hash`), плейнтекст с 4.38 вызывает warning
валидатора. То есть эти поля можно вообще перестать считать секретами.

**Gitea** даёт частичный выигрыш: секрет уходит из `environment:`, `docker
inspect` и окружения процесса, но `environment-to-ini` пишет его открытым
текстом в `app.ini` на диске — открытая проблема апстрима (#35316).

**tududi и wanderer не умеют ничего.** Для них остаётся либо принять env, либо
перенести переменные в файл на диске: у tududi `backend/app.js` зовёт `dotenv`
при рабочей директории `/app/backend`, поэтому смонтированный туда `.env` уберёт
секреты хотя бы из `docker inspect` — в отличие от `env_file:`, где они попадают
в `Config.Env`. У wanderer доступен только `env_file:`, то есть косметика.

Попутная находка в закомментированном OIDC-блоке wakapi (ловушка на будущее, не
живой баг): имена `WAKAPI_OIDC_PROVIDER_*` устарели, в 2.17.5 разбирается
`WAKAPI_OIDC_PROVIDERS_(\d+)_(...)`; кроме того `renameEnvVars()` режет строку по
первому `=`, так что секрет с base64-паддингом через env поедет битым. Оба
довода — за `config.yml`.

## Docker secrets — разобрано, покрытия не расширяет

`secrets:` в compose вне swarm — это bind-mount файла в `/run/secrets/<name>`,
то есть **тот же способ доставки**, что и `*_FILE`. Приложение, умеющее только
переменную окружения, из `/run/secrets` не прочитает — ограничение в приложении,
а не в доставке. На таблицу выше не влияет.

Что даёт: секрет объявляется на сервис, а не монтируется каталогом. У miniflux
сейчас `{{ secrets_dir }}:/secrets:ro` висит на обоих сервисах, и postgres видит
все шесть файлов, включая секреты OIDC, хотя нужен ему один пароль. Улучшение
поверх образца, а не замена ему. `uid`/`gid`/`mode` вне swarm игнорируются —
права остаются с хост-файла, их ставит роль `secrets`.

## Границы задачи

Она про то, где секрет **лежит в рантайме** (env против файла). Про то, чтобы он
не печатался в терминал при деплое, — [no-secrets-in-playbook-output](no-secrets-in-playbook-output.md),
и она идёт первой: `no_log` дёшев, закрывает все приложения разом и не зависит от
этой матрицы. Для tududi и wanderer он вообще единственный ответ.

Матрица показала, что задача переросла в эпик: каждая строка — отдельное
приложение со своим механизмом, и каждое мерджится независимо и само по себе
даёт пользу. Договорились разбить по приложениям отдельным заходом (2026-07-25);
до этого задачу в работу не брать целиком.

Из sec-ревью (fable, 2026-07-13). Связка с
[service-users-docker-group](service-users-docker-group.md).

Связано: files/outline, files/wakapi, files/tududi, files/wanderer, files/gramps,
files/gitea, files/authelia, files/miniflux (образец), roles/secrets.