add rotate credentials description

Author: Nikita Velgin

content/documentation/admin/security/credentials.ru.md

@@ -44,7 +44,7 @@ weight: 30
 Зашифрованные значения сохраняются в базе данных с префиксом `GCM:`, что позволяет системе определить метод шифрования при расшифровке.
 
 {{< alert level="warning" >}}
-При изменении ключа шифрования (`security.secretKey`) в конфигурации все текущие учётные данные станут невалидными и не смогут быть расшифрованы.
+При изменении ключа шифрования (`security.secretKey`) в конфигурации без предварительного перешифрования все текущие учётные данные станут недоступны. Используйте [ротацию ключа шифрования](../encryption-key-rotation/) в веб-интерфейсе.
 {{< /alert >}}
 
 ### Хранение в HashiCorp Vault
@@ -80,7 +80,7 @@ weight: 30
 - Поддерживается только KV Secrets Engine v2. Путь в настройках должен включать `/data/` (например, `mount/data/подкаталог`).
 - Одна конфигурация Vault на инстанс DDP: один URL, одна AppRole, один базовый путь. Все типы учётных данных с хранилищем Vault используют этот путь (подкаталоги формируются автоматически по UUID типа).
 - Очистить все сохранённые значения типа из текущего хранилища (база данных или Vault) в любой момент можно через действие «Очистить хранилище» в таблице типов учётных данных.
-- Смена ключа шифрования DDP (`security.secretKey`) делает нечитаемыми и учётные данные в Vault, так как значения в Vault хранятся в зашифрованном виде.
+- Смена ключа шифрования DDP (`security.secretKey`) без предварительного перешифрования делает нечитаемыми и учётные данные в Vault, так как значения в Vault хранятся в зашифрованном виде. Используйте [ротацию ключа шифрования](../encryption-key-rotation/).
 
 ### Использование учётных данных
 

content/documentation/admin/security/encryption-key-rotation.ru.md

@@ -0,0 +1,55 @@
+---
+title: Ротация ключа шифрования
+weight: 35
+---
+
+DDP позволяет безопасно сменить ключ шифрования (`security.secretKey`) без потери учётных данных и других зашифрованных значений. Операция выполняется из веб-интерфейса и перешифровывает все данные, которые хранятся с использованием текущего ключа.
+
+## Когда использовать
+
+Ротацию ключа шифрования выполняйте, если необходимо заменить `security.secretKey` в конфигурации DDP Backend — например, по политике безопасности или после компрометации ключа.
+
+{{< alert level="warning" >}}
+Не меняйте `security.secretKey` в конфигурации и не перезапускайте backend до завершения перешифрования в веб-интерфейсе. Иначе сохранённые значения станут недоступны.
+{{< /alert >}}
+
+## Права доступа
+
+Для запуска ротации требуется глобальное разрешение `rotate:encryption-key`.
+
+## Что перешифровывается
+
+Операция затрагивает следующие категории данных:
+
+- «Учётные данные пользователей» — значения в PostgreSQL для типов с хранилищем «База данных».
+- «Учётные данные AI-провайдеров» — персональные реквизиты для AI-интеграций.
+- «Временные ответы действий» — зашифрованные временные ответы в записях выполнения действий.
+- «Секреты Vault» — значения учётных данных, хранящихся в HashiCorp Vault или Deckhouse Stronghold.
+- «Конфигурация Vault» — AppRole Role ID и AppRole Secret ID в настройках интеграции с Vault.
+
+## Порядок выполнения
+
+1. Перейдите в раздел «Администрирование» → «Учётные данные».
+1. Нажмите «Ротация ключа шифрования».
+1. В поле «Старый ключ шифрования» введите текущий ключ из конфигурации DDP (`security.secretKey`).
+1. В поле «Новый ключ шифрования» введите новый ключ. Требования к ключу те же, что при первоначальной настройке: длина 16, 24 или 32 байта; только печатаемые ASCII-символы; ключ не должен состоять из одного повторяющегося символа.
+1. Нажмите «Перешифровать».
+1. Дождитесь завершения операции и проверьте таблицу результатов: для каждой категории отображаются количество успешно перешифрованных, пропущенных и неуспешных записей.
+1. Обновите `security.secretKey` в конфигурации DDP Backend на новый ключ.
+1. Перезапустите DDP Backend.
+
+{{< alert level="info" >}}
+После перешифрования учётные данные остаются недоступны для использования, пока в конфигурации backend не указан новый ключ и сервис не перезапущен.
+{{< /alert >}}
+
+## Результаты операции
+
+В таблице результатов для каждой категории данных указываются три счётчика:
+
+- «Успешно» — записи перешифрованы новым ключом.
+- «Пропущено» — запись уже доступна с новым ключом (например, была перешифрована ранее).
+- «Неуспешно» — запись не удалось перешифровать (чаще всего из-за неверного старого ключа или повреждённых данных).
+
+Строка «Итого» содержит суммарные значения по всем категориям.
+
+Если в столбце «Неуспешно» есть ненулевые значения, не обновляйте конфигурацию backend до устранения причины ошибок. Проверьте корректность старого ключа и повторите операцию.

content/documentation/admin/security/overview.ru.md

@@ -32,6 +32,11 @@ DDP обеспечивает централизованное и безопас
 Перед сохранением в базе данных учетные данные шифруются с применением алгоритма AES-GCM. Расшифровка выполняется DDP Backend только в момент использования учетных данных в действиях, источниках данных или виджетах.
 Подробнее — [в документации по учетным данным](../credentials/).
 
+## Ротация ключа шифрования
+
+При смене ключа шифрования (`security.secretKey`) DDP позволяет перешифровать все связанные данные из веб-интерфейса, не теряя учётные данные пользователей, секреты Vault и другие зашифрованные значения. Операция доступна пользователям с разрешением `rotate:encryption-key`.
+Подробнее — [в документации по ротации ключа шифрования](../encryption-key-rotation/).
+
 ## Доверенные сертификаты
 
 DDP позволяет добавлять в хранилище корневые и промежуточные сертификаты (CA) или сертификаты серверов. Они используются при проверке TLS в исходящих HTTPS-запросах к внешним сервисам (в действиях, виджетах, источниках данных и др.).

content/documentation/admin/security/rbac.ru.md

@@ -116,6 +116,7 @@ weight: 20
 
 Типы учётных данных:
 - `edit:user-access-credentials-types` — создание, редактирование и удаление типов учётных данных; настройка интеграции с Vault (просмотр и изменение конфигурации, проверка подключения).
+- `rotate:encryption-key` — ротация ключа шифрования. Подробнее — [в документации по ротации ключа шифрования](../encryption-key-rotation/).
 
 Пользователи:
 - `edit:users` — создание, блокировка, разблокировка и удаление пользователей.

content/documentation/release-notes/v1.6.0.ru.md

@@ -15,6 +15,10 @@ description: Заметки о выпуске v1.6.0 — выгрузка ауд
 - Добавлена имперсонация пользователей. Подробнее — в разделе [«Имперсонация»](../../admin/security/impersonation/).
 - Добавлена возможность создания [«сервисных пользователей»](../../user/teams-users/#сервисные-пользователи).
 
+### Безопасность
+
+- Добавлен механизм ротации ключа шифрования для безопасной смены `security.secretKey` без потери учётных данных. Подробнее — в разделе [«Ротация ключа шифрования»](../../admin/security/encryption-key-rotation/).
+
 ### Аудит-логи
 
 Добавлена выгрузка аудит-логов в CSV. Подробнее — в разделе [«Аудит-логи»](../../admin/security/audit-logs/#выгрузка-в-csv).