fix(auth): require independent sessions and expire revealed API keys (carry #6672)

docs-site/src/content/docs/fr/guides/web-dashboard.md

@@ -157,6 +157,28 @@ OpenCodex demandent à Codex de transmettre les remplacements à `spawn_agent` ;
 
 Le plan de gestion du tableau de bord est séparé du trafic modèle direct client→hub. **Connexion → Clés API** affiche les rotations en attente, montre le secret de remplacement une seule fois et exige une validation ou une annulation explicite. La déconnexion du navigateur n'invalide que la session courante. L'usage connecté vient du hub filtré par `apiKeyId`; l'usage déconnecté est local, sans réplication.
 
+### Afficher une clé API enregistrée
+
+L'affichage de la valeur complète d'une clé enregistrée exige une session du tableau de bord
+créée par un appairage explicite ou une identité Tailscale de confiance. Une session locale
+créée automatiquement peut lire la liste masquée, mais ne peut pas révéler les valeurs enregistrées.
+Le jeton administrateur ne peut pas non plus appeler cette opération réservée aux sessions.
+Utilisez le processus d'appairage Remote Hub existant ou une connexion Tailscale de confiance, si disponible.
+
+Le formulaire d'appairage local est proposé uniquement sur un tableau de bord autonome de même origine,
+ouvert en HTTP à l'adresse IP littérale `127.0.0.1` ou `[::1]`. L'origine doit correspondre à l'adresse
+IP de bouclage configurée pour l'écoute du serveur. Depuis `localhost` ou un alias, vérifiez cette adresse :
+rouvrez `http://127.0.0.1:<port>` pour une écoute sur `127.0.0.1`, ou `http://[::1]:<port>` pour
+une écoute sur `::1`, puis effectuez l'appairage. Un serveur dont le hostname est `localhost` n'a
+aucune origine admissible pour l'appairage local. Le tableau de bord ne peut pas déduire l'adresse
+d'écoute d'une URL avec un alias : il affiche donc le refus général sans suggérer une autre URL.
+
+Après l'appairage, cliquez à nouveau sur la clé pour demander sa valeur. L'appairage seul ne révèle aucune clé.
+Les valeurs affichées et l'état de copie sont effacés lorsque la session partagée est supprimée ou remplacée,
+au début d'un appairage, en quittant ce panneau, en masquant l'onglet ou la fenêtre de l'application,
+ou en changeant de serveur. Cela inclut les valeurs des clés créées ou remplacées, affichées une seule fois.
+Si la session autorisée expire ou est révoquée, effectuez à nouveau l'appairage.
+
 La garantie de remplacement lors d'une création de sous-agent s'applique au texte de consignes v2 **intégré**.
 Un `injectionPrompt` personnalisé remplace entièrement ce texte et doit contenir les espaces réservés
 `{{model}}` et `{{effort}}` — et facultativement `{{roster}}` — sans quoi ces valeurs n'apparaîtront pas dans

docs-site/src/content/docs/guides/web-dashboard.md

@@ -268,7 +268,33 @@ they have been synchronized. See
 
 ## Remote Hub sessions, keys, and usage
 
-In **Connect → API Keys**, every row of the key table has its own delete button, which asks for confirmation in place, and clicking a key shows its full value with a **Copy** button. Revealing a key needs a signed-in dashboard session; the admin token cannot read key values.
+In **Connect → API Keys**, every row of the key table has its own delete button, which asks for confirmation in place. Clicking a key can show its full value with a **Copy** button only from an independently authorized session.
+
+### Reading an existing API key
+
+Showing a stored key's full value requires a dashboard session established by explicit pairing or
+trusted Tailscale identity. An automatic local dashboard session can still show the masked key list,
+but cannot reveal existing values; a raw admin token cannot call this session-only action either.
+Use the existing [dashboard pairing flow](/guides/remote-hub/#pairing-this-browser-with-a-hub) to establish an
+operator-authorized session before requesting a stored value; a refused reveal states the requirement
+on the page. The local pairing form is offered only by a same-origin standalone dashboard opened
+over HTTP at the literal `127.0.0.1` or `[::1]` address. The origin must match the server's
+configured literal loopback bind. On `http://localhost:<port>` (or another localhost alias),
+check the server's bind: reopen `http://127.0.0.1:<port>` for a `127.0.0.1` bind or
+`http://[::1]:<port>` for a `::1` bind, then pair there. A server configured with hostname
+`localhost` has no eligible local pairing origin. The dashboard cannot infer the configured
+bind from an alias URL, so it shows the generic denial without suggesting a replacement URL.
+Use the existing remote-hub pairing flow or trusted Tailscale sign-in where available.
+Pair again if the authorized session expires or is revoked. Ordinary dashboard sign-in,
+key creation, rotation, and deletion are unchanged.
+
+After pairing, click the key again to request its value. Pairing itself never reveals a key.
+Displayed key values and copy feedback are cleared when the shared session is cleared or replaced,
+pairing starts, you leave this panel, hide the browser tab or desktop window, or switch servers.
+This also clears newly created and replacement values, so copy a one-time value before leaving
+the panel. If creation or rotation succeeds after the session or view changes, its one-time
+value stays hidden. After switching servers, returning to the
+original server revalidates its key list. Pending rotations remain available for explicit commit or abort.
 
 The dashboard's management plane is separate from direct client→hub model traffic. **Connect → API Keys** shows pending rotations, displays a replacement secret only once, and requires explicit commit or abort. Browser logout invalidates only the current remote session. Connected usage is the hub store filtered by the client's `apiKeyId`; disconnected usage is local, with no mirroring.
 

docs-site/src/content/docs/ja/guides/web-dashboard.md

@@ -123,6 +123,27 @@ Codex タスクだけに適用され、このオプション自体が委任を
 
 ダッシュボードの管理プレーンと client→hub のモデル通信は別経路です。**接続 → API キー** は保留中の更新を表示し、新しい秘密値を一度だけ示し、明示的な確定または中止を要求します。ブラウザーのログアウトは現在のセッションだけを無効にします。接続中の使用量は hub で `apiKeyId` に絞り、切断後はローカル記録を使い、ミラーリングしません。
 
+### 保存済み API キーの全体表示
+
+保存済みキーの全体を表示するには、明示的なペアリングまたは信頼された Tailscale 認証で
+発行されたダッシュボードセッションが必要です。自動発行されたローカルセッションでは
+マスク済みの一覧を確認できますが、保存済みキーの値は表示できません。管理トークンも
+このセッション専用操作には使えません。既存の Remote Hub ペアリング手順、または利用可能な
+信頼された Tailscale ログインを使用してください。
+
+ローカルペアリングフォームを表示するのは、同一オリジンの単独ダッシュボードを HTTP の
+`127.0.0.1` または `[::1]` で開いた場合だけです。オリジンはサーバーに設定された
+ループバック IP のバインドと一致する必要があります。`localhost` やその別名で開いた場合は
+バインドを確認し、`127.0.0.1` なら `http://127.0.0.1:<port>`、`::1` なら
+`http://[::1]:<port>` で開き直してペアリングしてください。hostname が `localhost` に
+設定されたサーバーには、ローカルペアリングを許可するオリジンがありません。ダッシュボードは
+別名 URL からバインドを判定できないため、代替 URL を提案せず一般的な拒否理由を表示します。
+
+ペアリング後はキーをもう一度クリックして表示を要求してください。ペアリングだけで値は表示されません。
+共有セッションの削除・切り替え、ペアリング開始、パネルからの移動、ブラウザータブやデスクトップ
+ウィンドウの非表示、サーバーの切り替えで、表示中の値とコピー状態を消去します。新規作成・交換した
+一度だけ表示される値も対象です。承認済みセッションが失効した場合は再度ペアリングしてください。
+
 セレクターには有効化されたネイティブおよびルーティングモデルと Codex グローバル推論段階が表示されます。API は
 選んだ強度がグローバル段階にあるか検査し、Codex は再び対象カタログ項目がその強度をサポートするか
 検査します。

docs-site/src/content/docs/ko/guides/web-dashboard.md

@@ -139,6 +139,31 @@ Dashboard의 **Sub-agent delegation** 선택기는 `injectionModel`과 선택적
 
 대시보드 관리 API와 클라이언트에서 허브로 가는 모델 요청은 서로 다른 경로입니다. **연결 → API 키**에서는 진행 중인 키 교체를 확인하고, 새 키를 한 번만 표시하며, 확정 또는 취소를 직접 눌러야 합니다. 브라우저 로그아웃은 현재 원격 세션만 끝냅니다. 연결 중 사용량은 허브에서 해당 `apiKeyId`만 보고, 연결 해제 후에는 로컬 기록을 보며 서로 복제하지 않습니다.
 
+### 기존 API 키의 전체 값 조회
+
+저장된 키의 전체 값을 보려면 명시적인 페어링이나 신뢰된 Tailscale 인증으로 발급된
+대시보드 세션이 필요합니다. 자동 발급된 로컬 세션은 마스킹된 목록을 계속 볼 수 있지만,
+기존 키의 전체 값은 조회할 수 없습니다. 관리자 토큰도 이 세션 전용 동작을 호출하지 못합니다.
+기존 대시보드 페어링 절차로 세션을 승인한 뒤 조회하세요. 거부된 조회는 페이지에서
+요구 사항을 안내합니다. 로컬 페어링 폼은 같은 출처의 단독 대시보드를 HTTP의
+`127.0.0.1` 또는 `[::1]` IP 주소에서 열었을 때만 제공합니다. 오리진은 서버에 설정된
+루프백 IP 바인드와 일치해야 합니다. `http://localhost:<port>`나 다른 localhost 별칭으로
+접속했다면 서버의 바인드를 먼저 확인하세요. `127.0.0.1` 바인드이면 `http://127.0.0.1:<port>`,
+`::1` 바인드이면 `http://[::1]:<port>`로 다시 열어 페어링하세요. hostname을 `localhost`로
+설정한 서버에는 로컬 페어링을 허용하는 오리진이 없습니다. 대시보드는 별칭 URL만으로 실제
+바인드를 알 수 없으므로 대체 URL을 제안하지 않고 일반 거절 안내만 표시합니다.
+사용 가능한 경우 기존 Remote Hub 페어링 절차나 신뢰된 Tailscale 로그인을 이용하세요.
+승인된 세션이 만료되거나 해제되면 다시 페어링해야 합니다. 일반 대시보드 접속과
+키 생성·교체·삭제는 변경하지 않습니다.
+
+페어링을 마친 뒤 키를 다시 클릭해야 전체 값을 조회합니다. 페어링만으로 키를
+자동 조회하지 않습니다. 공유 세션이 해제되거나 교체될 때, 페어링을 시작할 때,
+이 패널을 벗어나거나 브라우저 탭 또는 데스크톱 창을 숨길 때, 서버를 바꿀 때 표시된
+키와 복사 상태를 지웁니다. 새로 생성하거나 교체한 값도 지우므로 일회성 값은 패널을
+벗어나기 전에 복사하세요. 생성·교체 요청 중 세션이나 화면이 바뀌면 작업이 성공하더라도
+일회성 값은 숨깁니다. 서버를 바꾼 뒤 원래 서버로 돌아오면 키 목록을 다시 검증해
+불러옵니다. 진행 중인 교체는 명시적으로 확정하거나 취소할 수 있습니다.
+
 선택기에는 활성화된 네이티브 및 라우팅 모델과 Codex 전역 reasoning 단계가 표시됩니다. API는
 선택한 강도가 전역 단계에 있는지 검사하고, Codex는 다시 대상 카탈로그 항목이 그 강도를 지원하는지
 검사합니다.

docs-site/src/content/docs/ru/guides/web-dashboard.md

@@ -127,6 +127,28 @@ bun run dev:gui
 
 Контур управления панели отделён от прямого трафика client→hub. **Подключение → Ключи API** показывает ожидающую ротацию, отображает новый секрет один раз и требует явного подтверждения или отмены. Logout браузера отзывает только текущую сессию. При подключении статистика hub фильтруется по `apiKeyId`; после отключения используется локальная, без зеркалирования.
 
+### Просмотр сохранённого API-ключа
+
+Для просмотра полного значения сохранённого ключа нужна сессия панели, выданная после явного
+сопряжения или аутентификации через доверенную учётную запись Tailscale. Автоматическая локальная
+сессия позволяет просматривать маскированный список, но не раскрывать сохранённые значения.
+Административный токен также не подходит для этой операции, доступной только сессиям.
+Используйте существующий процесс сопряжения с Remote Hub или доверенный вход Tailscale, если он доступен.
+
+Локальная форма сопряжения предлагается только в автономной панели с тем же origin, открытой
+по HTTP на буквальном адресе `127.0.0.1` или `[::1]`. Origin должен соответствовать настроенному
+loopback IP-адресу привязки сервера. Если панель открыта через `localhost` или его псевдоним,
+проверьте привязку: для `127.0.0.1` откройте `http://127.0.0.1:<port>`, а для `::1` —
+`http://[::1]:<port>`, затем выполните сопряжение. При hostname `localhost` подходящего origin для
+локального сопряжения нет. Панель не может определить привязку по URL с псевдонимом, поэтому
+показывает общий отказ без предложения другого URL.
+
+После сопряжения снова нажмите на ключ, чтобы запросить его значение. Само сопряжение ключ не раскрывает.
+При очистке или замене общей сессии, начале сопряжения, выходе из панели, скрытии вкладки браузера
+или окна приложения либо смене сервера показанные значения и состояние копирования очищаются.
+Это относится и к значениям новых и заменённых ключей, отображаемым один раз. При истечении срока
+или отзыве авторизованной сессии выполните сопряжение заново.
+
 Селектор предлагает включённые нативные и маршрутизируемые модели, а также глобальную шкалу уровней
 рассуждений Codex. API валидирует выбранный уровень глобально; Codex дополнительно валидирует
 уровень порождения по целевой записи каталога.

docs-site/src/content/docs/tr/guides/web-dashboard.md

@@ -164,6 +164,26 @@ için [Alt Ajan Arayüzü](/tr/guides/sub-agent-surface/) sayfasına bakın.
 
 Pano yönetim düzlemi doğrudan client→hub model trafiğinden ayrıdır. **Bağlantı → API Anahtarları** bekleyen döndürmeyi gösterir, yeni sırrı bir kez görüntüler ve açık onay veya iptal ister. Tarayıcı logout yalnızca mevcut oturumu geçersiz kılar. Bağlı kullanım hub üzerinde `apiKeyId` ile filtrelenir; bağlantı kesilince yerel kayıt kullanılır ve yansıtma yapılmaz.
 
+### Kaydedilmiş bir API anahtarını görüntüleme
+
+Kaydedilmiş bir anahtarın tam değerini göstermek için açık eşleştirme veya güvenilir Tailscale
+kimlik doğrulamasıyla oluşturulmuş bir pano oturumu gerekir. Otomatik yerel oturum maskelenmiş
+listeyi okuyabilir, ancak kaydedilmiş değerleri gösteremez. Yönetici belirteci de yalnızca oturumlara
+izin verilen bu işlemi çağıramaz. Mevcut Remote Hub eşleştirme akışını veya varsa güvenilir Tailscale girişini kullanın.
+
+Yerel eşleştirme formu yalnızca HTTP üzerinden doğrudan `127.0.0.1` veya `[::1]` IP adresinde açılmış,
+aynı origin'e sahip bağımsız panoda sunulur. Origin, sunucunun yapılandırılmış geri döngü IP bağlama
+adresine uymalıdır. `localhost` veya bir takma adres kullanıyorsanız sunucunun bağlama adresini kontrol edin:
+`127.0.0.1` için `http://127.0.0.1:<port>`, `::1` için `http://[::1]:<port>` adresinde yeniden açıp
+eşleştirin. hostname değeri `localhost` olan sunucuda uygun bir yerel eşleştirme origin'i yoktur.
+Pano, takma adresli URL'den gerçek bağlama adresini belirleyemediği için başka bir URL önermeden genel ret açıklamasını gösterir.
+
+Eşleştirmeden sonra değeri istemek için anahtara yeniden tıklayın. Eşleştirme tek başına anahtarı göstermez.
+Paylaşılan oturum temizlendiğinde veya değiştirildiğinde, eşleştirme başladığında, panelden ayrıldığınızda,
+tarayıcı sekmesi ya da masaüstü penceresi gizlendiğinde veya sunucu değiştiğinde gösterilen değerler ve
+kopyalama durumu temizlenir. Bir kez gösterilen yeni ve yedek anahtar değerleri de temizlenir.
+Yetkili oturumun süresi dolarsa veya iptal edilirse yeniden eşleştirin.
+
 Spawn geçersiz kılma garantisi **yerleşik** v2 rehberlik metni için geçerlidir.
 Özel bir `injectionPrompt` bu metnin yerini tamamen alır ve `{{model}}` ve
 `{{effort}}` yer tutucularını (ve isteğe bağlı olarak `{{roster}}`) içermelidir,

docs-site/src/content/docs/zh-cn/guides/web-dashboard.md

@@ -117,6 +117,22 @@ Dashboard 的 **Sub-agent delegation** 选择器会保存 `injectionModel`，以
 
 控制台管理平面与 client→hub 的模型流量相互独立。**连接 → API 密钥** 显示待处理轮换，只显示一次替换密钥，并要求显式提交或中止。浏览器 logout 只使当前会话失效。连接时从 hub 按 `apiKeyId` 过滤用量；断开后使用本地记录，两者不会镜像。
 
+### 查看已保存的 API 密钥
+
+查看已保存密钥的完整值，需要通过显式配对或可信 Tailscale 身份认证签发的控制台会话。
+自动签发的本地会话仍可查看掩码列表，但不能显示已保存的密钥值；管理员令牌也不能调用
+这项仅限会话的操作。请使用现有的 Remote Hub 配对流程，或在可用时通过可信 Tailscale 身份登录。
+
+本地配对表单仅在通过 HTTP、以字面 IP 地址 `127.0.0.1` 或 `[::1]` 打开的同源独立控制台中提供。
+来源必须与服务器配置的回环 IP 绑定一致。如果通过 `localhost` 或其别名打开，请先检查服务器绑定：
+绑定为 `127.0.0.1` 时重新打开 `http://127.0.0.1:<port>`，绑定为 `::1` 时重新打开
+`http://[::1]:<port>`，然后配对。hostname 配置为 `localhost` 的服务器没有符合条件的本地配对来源。
+控制台无法从别名 URL 判断实际绑定，因此只显示通用拒绝说明，不建议替代 URL。
+
+配对后请再次点击密钥以请求其值；配对本身不会显示密钥。共享会话被清除或替换、开始配对、
+离开面板、隐藏浏览器标签页或桌面窗口、切换服务器时，已显示的值和复制状态都会清除。
+新建或替换密钥的一次性值也会清除。授权会话过期或被撤销后，请重新配对。
+
 选择器会列出已启用的原生与路由模型，以及全局 Codex reasoning 阶梯。API 会先验证所选强度是否
 属于全局阶梯；Codex 仍会根据目标目录条目再次校验该 spawn 强度。