Geheimnisse in Wiki-Dokumenten

Verwenden Sie Geheimnisreferenzen, um ein bekanntes Passwort oder Token im aktuellen Haupttext einer Erinnerung oder Wissenskarte zu ersetzen. Das Dokument behält eine Markierung wie {{secret:API_KEY}}, und verschlüsselte Zugangsdaten im selben Tresor enthalten den Wert. Aktuelle Lesezugriffe, Suche und MCP lösen die Markierung nicht auf.

Diese Funktion erfordert eine aktualisierte CLI/einen aktualisierten Daemon oder eine aktualisierte mobile App. Aktualisieren Sie jeden Client, bevor Sie Dokumente mit Referenzen synchronisieren: Ältere Clients können das neue Inhaltsfeld nicht dekodieren. Siehe Sicherheitsgrenzen und Validierungsergebnisse.

Ein Geheimnis ersetzen

Starten Sie den Daemon und entsperren Sie die Bibliothek. Verwenden Sie die kurzen Tresor- und Dokument-IDs, die Listen oder Suche zurückgeben. Führen Sie vor dem Ersetzen sudo im selben Terminal aus:

memories sudo
memories memory protect-secret VAULT_ID DOCUMENT_ID API_KEY

Für eine Wissenskarte verwenden Sie:

memories card protect-secret VAULT_ID CARD_ID API_KEY

Die CLI fragt das genaue Geheimnis ab, ohne es anzuzeigen. Geben Sie das Geheimnis nicht in Argumenten oder im Referenznamen an. Die Ersetzung unterscheidet Groß- und Kleinschreibung und erfolgt wörtlich; sie verwendet keinen regulären Ausdruck. Alle nicht überlappenden Treffer im aktuellen Haupttext werden ersetzt. Ein Haupttext, der dasselbe synthetische Token zweimal enthält, wird beispielsweise zu:

API_KEY={{secret:API_KEY}}
Authorization: Bearer {{secret:API_KEY}}

Bei Erfolg enthält die normale JSON-Antwort die Dokument-id, die neue credential-ID und die Anzahl der replacements. Erstellung der Zugangsdaten und Dokumentersetzung werden gemeinsam gespeichert; eine abgelehnte Operation speichert keine der beiden Änderungen.

Öffnen Sie in der mobilen App das Erinnerungs-/Kartenmenü, wählen Sie Geheimnis im Dokument schützen, bestätigen Sie die Verlaufswarnung, geben Sie einen Referenznamen und dann das Geheimnis in das verborgene Feld ein. Schließen Sie bei Aufforderung die Passwortautorisierung ab.

Referenznamen enthalten 1-64 ASCII-Buchstaben, Ziffern, Unterstriche oder Bindestriche und dürfen in diesem Dokument noch nicht verwendet werden. Ein Dokument kann höchstens 64 Referenzen enthalten. Die Ersetzung erfordert lokales sudo und Schreibberechtigung für den Tresor. Sie wird abgelehnt, wenn:

• Das Geheimnis leer ist oder im aktuellen Haupttext nicht vorkommt.
• Der Name ungültig oder bereits zugeordnet ist oder seine Markierung bereits im Haupttext vorkommt.
• Das Geheimnis auch in Metadaten wie Titel, Tags oder Quelle vorkommt, in der neuen Markierung verbleiben oder eine bestehende Referenzmarkierung verändern würde.
• Das Dokument ungelöste Versionskonflikte hat oder der resultierende Inhalt seine Größen- oder Referenzgrenzen überschreitet.

Entfernen Sie offengelegte Werte aus Metadaten und lösen Sie Konflikte, bevor Sie es erneut versuchen. Auch diese Änderungen lassen signierte historische Versionen unverändert bestehen.

Einen aktuellen Wert kopieren

Kopieren erfordert lokales sudo. Geben Sie bei einer Dokumentreferenz deren Bezeichnung an, auch wenn es nur eine Referenz gibt. Verwenden Sie für Zugangsdaten oder eine geschützte Karte deren eigene ID:

memories sudo
memories credential copy VAULT_ID DOCUMENT_ID --label API_KEY
memories credential copy VAULT_ID CREDENTIAL_ID
memories credential copy VAULT_ID PROTECTED_CARD_ID

Die CLI schreibt in die Systemzwischenablage und gibt nur den Kopierstatus aus ("copied": true). Der authentifizierte lokale Client erhält zum Kopieren Klartext. Allgemeine Lesezugriffe und Exporte von Zugangsdaten bleiben nicht verfügbar, und MCP kann weder ersetzen noch kopieren, auch mit Schreibberechtigung.

Wählen Sie in der mobilen App Geheimnis kopieren im Menü des Dokuments, der geschützten Karte oder der Zugangsdaten. Wählen Sie bei einem Dokument den Referenznamen, bestätigen Sie die Zwischenablagewarnung und schließen Sie bei Aufforderung die Autorisierung ab. Die App zeigt Erfolg an, ohne den Wert anzuzeigen, und verwirft verspätete Antworten nach Wechsel in den Hintergrund oder Sperren.

Geschützte Konto- und Tokenkarten kopieren ihr gespeichertes Passwort oder Token. Eine env-Karte kopiert ihren gespeicherten dotenv-Text. Eine OTP-Karte kopiert ihren Base32-Startwert; verwenden Sie die separate OTP-Aktion, um einen aktuellen Einmalcode zu erzeugen. Kopieren in die Zwischenablage akzeptiert nur UTF-8-Text und lehnt Zugangsdaten mit NUL-Bytes ab.

Linux wählt das Hilfsprogramm anhand von WAYLAND_DISPLAY; es wechselt nicht automatisch von wl-copy zu xclip. Ein fehlendes Hilfsprogramm oder eine unzugängliche Zwischenablage lässt den Befehl fehlschlagen. Der Dienst protokolliert vor dem Senden des Werts an den Client eine Zustellabsicht; dieser Prüfprotokolleintrag allein beweist daher keinen erfolgreichen Kopiervorgang.

Bearbeitung, Synchronisierung und Grenzen

Die typisierte secrets-Zuordnung des Dokuments bindet Bezeichnungen an Zugangsdaten-IDs. Das manuelle Eingeben einer Markierung erstellt keine Zugangsdaten und gewährt keinen Zugriff. Gewöhnliche Bearbeitungen müssen die bestehende Zuordnung beibehalten; CLI und mobiler Editor erhalten sie. Das aktuelle MCP-Werkzeug card_write überträgt diese Zuordnung nicht, weshalb das Aktualisieren einer Karte mit Geheimnisreferenzen darüber abgelehnt wird. Verwenden Sie für diese Karten CLI oder mobilen Editor. Das Entfernen einer Markierung aus dem Haupttext löscht weder die Zuordnung noch die Zugangsdaten.

Referenzen lösen den aktuellen Zugangsdatenwert auf. Verwenden Sie zum Aktualisieren die zurückgegebene Zugangsdaten-ID mit einem autorisierten Ersetzungsbefehl für Zugangsdaten, beispielsweise memories credential add VAULT_ID API_KEY --id CREDENTIAL_ID, der verborgene Eingaben abfragt. Die Dokumentmarkierung bleibt gleich. Dies ändert den gespeicherten Wert; eine Schlüsselrotation beim Anbieter muss separat erfolgen.

Dokument und Zugangsdaten werden bei verschlüsselter Synchronisierung mit ihrem Tresor übertragen. Unabhängige Backupwiederherstellung erhält Referenzen für eindeutige Assets; rein gerätegebundene Tresore bleiben von Synchronisierung und Backup ausgeschlossen. Das Löschen referenzierter Zugangsdaten oder ein verbleibender Konflikt verhindert das Kopieren über diese Referenz.

Die Ersetzung ändert nur den aktuellen Haupttext. Frühere signierte Revisionen, Wiederherstellungsarchive, bestehende Backups, andere Dokumente und geteilte Kopien können das ursprüngliche Geheimnis behalten. Widerrufen oder rotieren Sie bereits offengelegte Schlüssel bei ihrem Aussteller.

Zwischenablageinhalte können nach dem Sperren bestehen bleiben und von anderen Apps, dem Zwischenablageverlauf oder der Betriebssystemsynchronisierung gelesen oder aufbewahrt werden. Löschen Sie die Zwischenablage nach Gebrauch; die Anwendung garantiert keine Löschung der Zwischenablage.