> ## Documentation Index
> Fetch the complete documentation index at: https://docs.axottle.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Шифрование и TLS

> TLS для панели, сертификаты нод и шифрование данных в Axottle.

Шифрование в Axottle охватывает транспорт (TLS для панели и нод) и данные на диске (секреты и резервные копии). Эта страница описывает, что настраивается автоматически, а что требует внимания оператора.

<Info>
  Для кого: администратор и SRE.
</Info>

## TLS для панели

TLS для панели настраивается автоматически на этапе установки: инсталлятор разворачивает обратный прокси, который завершает TLS и публикует панель по вашему домену.

<Warning>
  Панель нельзя публиковать без встроенного прокси с TLS. Не открывайте порт панели напрямую в интернет — весь внешний трафик должен идти через обратный прокси по HTTPS.
</Warning>

<Steps>
  <Step title="Выберите домен при установке">
    Укажите домен панели — инсталлятор настроит выпуск и обновление сертификатов.
  </Step>

  <Step title="Предпочтите автоматические сертификаты">
    Вариант с автоматическим выпуском сертификатов (Let's Encrypt) — рекомендуемый: сертификаты выпускаются и продлеваются без ручного вмешательства.
  </Step>

  <Step title="Проверьте доступность портов выпуска">
    Для выпуска сертификатов инсталлятор проверяет доступность стандартных портов HTTP/HTTPS.
  </Step>
</Steps>

## Сертификаты нод

У каждой ноды есть режим сертификата:

| Режим           | Значение                                |
| --------------- | --------------------------------------- |
| `none`          | Сертификат не используется              |
| `auto_issue`    | Панель инициирует автоматический выпуск |
| `install_later` | Выпуск отложен                          |
| `existing`      | Используется уже имеющийся сертификат   |

Инспекция и выпуск сертификата выполняются как задачи агента. В панели по каждой ноде отображаются метаданные сертификата: издатель, срок действия, остаток дней, имена DNS, последняя ошибка, источник. Перед выпуском панель может автоматически создать нужную DNS-запись через интеграцию AutoDNS и возвращает понятную ошибку, если подходящей DNS-зоны нет. См. [DNS](/ru/cdn/dns).

Состояние сертификата также учитывается в чек-листе готовности маскировочного сайта: просроченный или отсутствующий сертификат блокирует установку. См. [Маскировка](/ru/security/masking).

## Данные на диске

* **Секреты.** Учётные данные сторонних сервисов шифруются в хранилище секретов под мастер-ключом — см. [Секреты](/ru/security/secrets).
* **Резервные копии.** Архивы резервных копий могут шифроваться (включается в профиле бэкапа) — см. [Резервные копии](/ru/operations/backups).
* **База данных панели.** База данных не шифруется на уровне приложения целиком. Защитите её средствами хоста: ограничьте доступ к серверу и файлам БД, используйте шифрование диска при необходимости и храните зашифрованные резервные копии в отдельном месте.

## Транспорт панель ↔ агент

Агенты аутентифицируются на панели токенами конкретных нод и обращаются к публичному адресу панели. Шифрование транспорта обеспечивает тот же обратный прокси с TLS, что и для веб-интерфейса — поэтому корректно настроенный TLS панели защищает и связь с агентами.

## Проверка

<Check>
  Панель открывается только по `https://` с валидным сертификатом; прямой доступ по HTTP к порту панели извне закрыт. По нодам в панели виден срок действия сертификатов с положительным остатком дней.
</Check>

## Откат

* Проблемный сертификат ноды переиздайте задачей выпуска или переключите режим сертификата ноды.
* Настройки TLS панели управляются обратным прокси инсталлятора; при проблемах с выпуском проверьте DNS и доступность портов, затем повторите выпуск.

<Note>Проверено для версии Axottle текущей ветки. Дата проверки: 2026-07-11.</Note>