> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/es/referencia/commands/secrets.md).

# Comandos de secreto

Todas las opciones de los comandos devo secret, devo secretspec y devo generate, con los valores predeterminados, los valores permitidos y las reglas que comprueba Devolutions CLI.

Esta página enumera cada argumento y cada opción de los comandos que leen, inyectan y escriben secretos (`devo secret`), conectan SecretSpec (`devo secretspec`) y generan contraseñas y claves (`devo generate`). Para una visión de todos los comandos, consulte [Comandos](/cli/es/referencia/commands.md). Para una ayuda paso a paso, consulte [Usar secretos sin exponerlos](/cli/es/guias/secrets.md), [Ejecutar un comando con sus secretos](/cli/es/guias/secrets/run-with-secrets.md), [Usar secretos en el shell actual](/cli/es/guias/secrets/current-shell.md), [Rellenar un archivo de configuración desde una plantilla](/cli/es/guias/secrets/fill-a-template.md), [Actualizar un secreto desde un script](/cli/es/guias/secrets/update-a-secret.md), [Usar Devolutions CLI con SecretSpec](/cli/es/guias/secrets/secretspec.md) y [Generar contraseñas y claves SSH](/cli/es/guias/generate.md).

Las opciones que acepta cada comando, como `--context`, `--source` o `--output json`, están en [Opciones globales](/cli/es/referencia/global-options.md). La sintaxis de las referencias `devo://` está en [Sintaxis de las referencias de secreto](/cli/es/referencia/secret-references.md).

{% hint style="warning" %}
`devo secret read`, `devo secret get`, `devo secret inject` y `devo secret shell enter` le entregan el valor: aparece en el terminal, en un archivo o en su sesión de shell. `devo secret run` es el único comando que lo mantiene fuera de su terminal. Consulte [Qué permanece oculto y qué no](/cli/es/guias/understand/security-model.md).
{% endhint %}

## devo secret run

Ejecuta un comando con las referencias resueltas solo en su entorno. Los valores resueltos se sustituyen por `<concealed by Devolutions>` en lo que imprime el comando, a menos que añada `--no-masking`.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret run [--env-ref <NAME>=<reference>]... [--env-file <path>] [--stdin-reference <reference>] [--timeout-seconds <seconds>] -- <command> [<arguments>]
devo secret run --manifest <path>
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>-- &#x3C;command> [&#x3C;arguments>]</code></td><td></td><td>El comando que ejecutar y sus argumentos, después de <code>--</code>. Obligatorio, salvo que use <code>--manifest</code>. Un argumento que es una referencia se rechaza: pase las referencias con <code>--env-ref</code>, <code>--stdin-reference</code>, <code>--env-file</code> o <code>--manifest</code>. Una referencia dentro de un argumento más largo, como <code>--password=devo://…</code>, no se rechaza, pero tampoco se resuelve.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Coloca el valor de una referencia en la variable de entorno <code>NAME</code> del comando. Repita para varias variables. El nombre debe usar letras, dígitos y guiones bajos, y no puede empezar por un dígito. El valor debe ser una referencia <code>devo://</code> exacta.</td></tr><tr><td><code>--env-file &#x3C;path></code></td><td></td><td>Archivo de entorno de líneas <code>KEY=value</code>. Las líneas vacías y las líneas que empiezan por <code>#</code> se ignoran; las comillas alrededor de un valor se quitan. Los valores pueden ser referencias. Una línea sin <code>=</code> detiene el comando con el código de salida <code>2</code>. Una variable del archivo sustituye una variable de su entorno con el mismo nombre. Consulte <a href="/cli/es/guias/secrets/replace-env-files.md">Sacar las contraseñas de un archivo .env</a>.</td></tr><tr><td><code>--stdin-reference &#x3C;reference></code></td><td></td><td>Referencia cuyo valor se escribe, exactamente, en la entrada estándar del comando. Debe ser una referencia <code>devo://</code> exacta; las referencias con nombre y las canónicas funcionan ambas.</td></tr><tr><td><code>--manifest &#x3C;path></code></td><td></td><td>Manifiesto de inicio: un archivo JSON con versión que contiene el comando, sus argumentos, sus referencias y, opcionalmente, una referencia de entrada estándar, un tiempo de espera y una carpeta de trabajo (una carpeta absoluta que existe). No se puede combinar con <code>--env-ref</code>, <code>--env-file</code>, <code>--stdin-reference</code>, <code>--timeout-seconds</code> ni con un comando después de <code>--</code>. Con un manifiesto, las variables de su entorno que contienen una referencia no se resuelven.</td></tr><tr><td><code>--timeout-seconds &#x3C;seconds></code></td><td>Ninguno</td><td>Tiempo máximo de ejecución del comando, mayor que cero. Cuando se supera, el comando se detiene y <code>devo</code> sale con el código <code>124</code>. Sin él, no hay límite de tiempo.</td></tr><tr><td><code>--receipt-file &#x3C;path></code></td><td></td><td>Escribe un recibo del inicio cuando el comando termina: un archivo JSON con el plan de inicio, los nombres de las variables, el código de salida y la duración, sin ningún valor. El archivo no debe existir todavía. Si existe, el comando se ejecuta de todos modos, pero el recibo no se escribe y <code>devo</code> termina con el código <code>1</code> en lugar del código de salida de su comando.</td></tr><tr><td><code>--check</code></td><td>Desactivado</td><td>Comprueba que el comando existe y que las referencias están bien formadas, sin leer ningún secreto ni iniciar el comando. En un perfil local, y para una referencia con nombre, comprueba también que la bóveda y la entrada existen; en Devolutions Cloud y Devolutions Server, una referencia canónica no se busca. No se puede combinar con <code>--dry-run</code>.</td></tr><tr><td><code>--dry-run</code></td><td>Desactivado</td><td>Comprueba el plan de inicio y lo muestra, sin contactar con su espacio de trabajo, sin buscar el comando, sin leer ningún secreto y sin iniciar el comando. No se puede combinar con <code>--check</code>.</td></tr><tr><td><code>--no-masking</code></td><td>Desactivado</td><td>Deja de sustituir los valores resueltos por <code>&#x3C;concealed by Devolutions></code> en lo que el comando imprime en su salida estándar y su salida de error.</td></tr></tbody></table>

Además de `--env-ref` y `--env-file`, cualquier variable de su entorno cuyo valor sea una referencia `devo://` se resuelve para el comando, a menos que use `--manifest`. El mismo nombre de variable no puede venir de dos fuentes, por ejemplo un `--env-ref` y una variable de su entorno: el comando se detiene en su lugar.

**Códigos de salida:** un inicio no válido, como un `--env-ref` mal formado o a la vez `--check` y `--dry-run`, termina con `2` antes de que se lea nada. Un tiempo de espera termina con `124`, una cancelación con <kbd>Ctrl</kbd>+<kbd>C</kbd> con `130`. De lo contrario, `devo secret run` termina con el código de salida de su comando. Consulte [Códigos de salida y errores](/cli/es/referencia/exit-codes-and-errors.md).

## devo secret read

Lee una referencia y escribe el valor en el terminal o en un archivo.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret read <reference> [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>&#x3C;reference></code></td><td></td><td>La referencia que leer, como <code>devo://&#x3C;workspace>/&#x3C;vault>/&#x3C;entry>/password</code>. Obligatoria. Una referencia mal formada se rechaza antes de leer nada. Consulte <a href="/cli/es/referencia/secret-references.md">Sintaxis de las referencias de secreto</a>.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td></td><td>Qué leer sobre el campo: <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> o <code>purpose</code>, sin distinguir mayúsculas. <code>otp</code> se acepta, pero no devuelve nada. Cualquier otro valor se rechaza. Sin esta opción, se aplica el <code>?attribute=</code> propio de la referencia, o <code>value</code>. Consulte <a href="/cli/es/referencia/secret-references.md#attributes">Atributos</a>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Escribe el valor en un archivo en lugar del terminal. La carpeta debe existir y la ruta no puede ser una carpeta. Con la salida de texto no se imprime nada más; con <code>--output json</code>, el resultado se imprime sin el valor.</td></tr><tr><td><code>--force</code></td><td>Desactivado</td><td>Sobrescribe el archivo <code>--out-file</code> si existe. Sin ella, se rechaza un archivo existente.</td></tr><tr><td><code>--raw</code></td><td>Desactivado</td><td>Con la salida de texto, escribe exactamente el valor en la salida estándar, sin un salto de línea al final. Sin ella, un salto de línea sigue al valor.</td></tr></tbody></table>

## devo secret get

Lee un campo de una entrada del espacio de trabajo seleccionado, por nombre o ID de la entrada, sin escribir una referencia.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret get <field> <entry> [--vault <vault>] [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
devo secret get <field> id:<entry-id> --vault-id <vault-id>
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>El campo que leer, como <code>password</code>, <code>username</code>, <code>domain</code>, <code>host</code>, <code>otp</code> o <code>privatekey</code>. Obligatorio. Devolutions Server lee cualquier propiedad de datos de la entrada.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>El nombre de la entrada, o su ID con <code>id:&#x3C;value></code> o <code>--id</code>. Obligatorio.</td></tr><tr><td><code>--id</code></td><td>Desactivado</td><td>Trata <code>&#x3C;entry></code> como un ID.</td></tr><tr><td><code>--workspace &#x3C;workspace></code></td><td>Espacio de trabajo actual</td><td>Espacio de trabajo de la entrada, por nombre o por ID.</td></tr><tr><td><code>--vault &#x3C;vault></code></td><td>Bóveda actual</td><td>Bóveda de la entrada, por nombre o por ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Bóveda de la entrada, por identificador. Tiene prioridad sobre <code>--vault</code>. Con un identificador de entrada y sin opción de bóveda, se usa la bóveda actual; si no hay ninguna bóveda seleccionada, el comando pide <code>--vault-id</code>.</td></tr><tr><td><code>--section &#x3C;section></code></td><td></td><td>Sección del campo, cuando el campo está en una sección. No se puede combinar con un identificador de entrada ni con las opciones de frase de contraseña.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td><code>value</code></td><td>Qué leer sobre el campo: <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> o <code>purpose</code>. <code>otp</code> se acepta, pero no devuelve nada. Con una opción de frase de contraseña, solo se acepta <code>value</code>.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Solo perfil local: nombre de la variable de entorno que contiene la frase de contraseña de un espacio de trabajo protegido. Se rechaza en Devolutions Cloud y Devolutions Server. Necesita el identificador de la entrada (<code>id:&#x3C;value></code> o <code>--id</code>). Con una opción de frase de contraseña, solo se puede leer el campo <code>password</code>, solo se puede indicar una de las dos opciones de frase de contraseña, solo se acepta la salida de texto y, sin <code>--vault-id</code> o <code>--vault</code>, se usa la bóveda predeterminada del espacio de trabajo.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Solo perfil local: archivo privado que contiene la frase de contraseña de un espacio de trabajo protegido. Las mismas reglas que <code>--passphrase-env</code>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Escribe el valor en un archivo en lugar del terminal. Las mismas reglas que para <code>devo secret read</code>.</td></tr><tr><td><code>--force</code></td><td>Desactivado</td><td>Sobrescribe el archivo <code>--out-file</code> si existe.</td></tr><tr><td><code>--raw</code></td><td>Desactivado</td><td>Con salida de texto, escribe exactamente el valor en la salida estándar, sin un salto de línea al final.</td></tr></tbody></table>

## devo secret set

Escribe un campo secreto de una entrada, con el nuevo valor desde una variable de entorno o un archivo. El nuevo valor nunca se imprime.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo. Devolutions Server escribe cualquier propiedad de datos de la entrada; Devolutions Cloud y los perfiles locales solo escriben `password`.

```bash
devo secret set <field> <entry> --value-env <variable> --yes
devo secret set <field> <entry> --value-file <path> --yes
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>El campo que escribir. Obligatorio. En Devolutions Cloud y en un perfil local, cualquier campo distinto de <code>password</code> se rechaza con un error que dice que el espacio de trabajo solo acepta escrituras en el campo de la contraseña.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>El nombre de la entrada, o su ID con <code>id:&#x3C;value></code> o <code>--id</code>. Obligatorio.</td></tr><tr><td><code>--id</code></td><td>Desactivado</td><td>Trata <code>&#x3C;entry></code> como un ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Bóveda de la entrada, por identificador. En un perfil local, con un identificador de entrada y sin <code>--vault-id</code>, se usa la bóveda predeterminada del espacio de trabajo. En Devolutions Cloud, sin ella, se usa la bóveda actual.</td></tr><tr><td><code>--value-env &#x3C;variable></code></td><td></td><td>Nombre de la variable de entorno que contiene el nuevo valor. Use exactamente uno de <code>--value-env</code> o <code>--value-file</code>.</td></tr><tr><td><code>--value-file &#x3C;path></code></td><td></td><td>Archivo que contiene el valor nuevo.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Solo perfil local: nombre de la variable de entorno que contiene la frase de contraseña de un espacio de trabajo protegido. Se rechaza en Devolutions Cloud y Devolutions Server.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td><code>&#x3C;workspace file>.passphrase</code></td><td>Solo perfil local: archivo privado que contiene la frase de contraseña de un espacio de trabajo protegido. Sin ninguna opción de frase de contraseña, se usa el archivo <code>&#x3C;workspace file>.passphrase</code> de la carpeta del perfil. Se rechaza en Devolutions Cloud y Devolutions Server.</td></tr><tr><td><code>--yes</code> (<code>-y</code>, <code>--confirmed</code>)</td><td>Desactivado</td><td>Confirma el cambio. Obligatorio: sin ella, no se escribe nada.</td></tr></tbody></table>

## devo secret inject

Sustituye las referencias de un texto, desde la entrada estándar o un archivo, por sus valores.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret inject [--in-file <path>] [--out-file <path> [--force]]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--in-file &#x3C;path></code> (<code>-i</code>)</td><td>Entrada estándar</td><td>Plantilla que se va a leer.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td>Salida estándar</td><td>Archivo que se va a escribir. La carpeta debe existir y la ruta no puede ser una carpeta.</td></tr><tr><td><code>--force</code></td><td>Desactivado</td><td>Sobrescribe el archivo <code>--out-file</code> si existe. Sin ella, se rechaza un archivo existente.</td></tr></tbody></table>

Si alguna referencia de la plantilla no se puede resolver, no se escribe nada y el comando termina con el código `1`. Con `--output json` o `--output yaml`, el comando imprime un resumen en lugar del texto rellenado: use `--out-file` para obtener el texto. Consulte [Rellenar un archivo de configuración desde una plantilla](/cli/es/guias/secrets/fill-a-template.md).

## devo secret shell enter

Imprime código de shell que carga las referencias en su sesión actual de Bash o PowerShell. Ejecute ese código con `eval` (Bash) o `Invoke-Expression` (PowerShell). Consulte [Usar secretos en el shell actual](/cli/es/guias/secrets/current-shell.md).

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret shell enter --shell <bash|pwsh> --env-ref <NAME>=<reference> [--env-ref ...] [--check --output json]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell para el que se escribe el código: <code>bash</code>, o <code>pwsh</code> (<code>powershell</code> funciona igual). Obligatorio. Cualquier otro valor se rechaza.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Variable que cargar y su referencia. Repita para varias variables. Al menos una es obligatoria. Cada nombre debe ser único, sin distinguir mayúsculas. El comando no lee su entorno ni los archivos <code>.env</code>.</td></tr><tr><td><code>--check</code></td><td>Desactivado</td><td>Comprueba las referencias, como hace <code>devo secret run --check</code>, sin leer ningún secreto ni escribir código de shell. Necesita <code>--output json</code>.</td></tr></tbody></table>

Sin `--check`, el comando necesita una salida de texto, para que el shell pueda ejecutar lo que imprime. Si una referencia no se puede leer, no se imprime nada en la salida estándar y el comando sale con un código distinto de cero.

## devo secret shell leave

Imprime código de shell que deshace el `devo secret shell enter` más reciente y restaura cada variable como estaba antes.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret shell leave --shell <bash|pwsh>
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell para el que escribir el código: <code>bash</code> o <code>pwsh</code> (<code>powershell</code> hace lo mismo). Obligatorio. Use el mismo valor que para <code>enter</code>. El comando necesita una salida de texto.</td></tr></tbody></table>

## devo secret shell status

Muestra si un ámbito de `devo secret shell enter` está activo en el shell actual, cuántos ámbitos están anidados y los nombres de las variables definidas por el más reciente. Nunca muestra los valores.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret shell status --shell <bash|pwsh> --output json
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell que inspeccionar: <code>bash</code> o <code>pwsh</code> (<code>powershell</code> hace lo mismo). Obligatorio. El comando necesita <code>--output json</code>.</td></tr></tbody></table>

## devo secret catalog entry

Enumera las referencias `devo://` de los campos de una entrada, listas para copiar, sin ningún valor. Igual que `devo entry references`. Consulte [Encontrar la referencia de un secreto](/cli/es/guias/secrets/find-a-reference.md).

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret catalog entry <entry> [--vault-name <vault> | --vault-id <id>]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>&#x3C;entry></code></td><td></td><td>El nombre de la entrada, o su ID con <code>id:&#x3C;value></code> o <code>--id</code>. Obligatorio.</td></tr><tr><td><code>--id</code></td><td>Desactivado</td><td>Trata <code>&#x3C;entry></code> como un ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Bóveda de la entrada, por ID. En Devolutions Cloud, sin una opción de bóveda, se usa la bóveda actual.</td></tr><tr><td><code>--vault-name &#x3C;name></code></td><td></td><td>Bóveda de la entrada, por nombre.</td></tr></tbody></table>

## devo secret capabilities

Describe, para Devolutions Cloud, Devolutions Server y los perfiles locales, lo que admiten los comandos de secreto, como qué campos se pueden leer y escribir. No se devuelve ningún valor y no se contacta con ningún espacio de trabajo.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secret capabilities --output json
```

Este comando no tiene argumentos ni opciones propios.

## devo secretspec register

Registra este `devo` como proveedor de SecretSpec para los URI de proveedor `devo://`, escribiendo un archivo de reclamación `devo.secretspec.json`. Consulte [Usar Devolutions CLI con SecretSpec](/cli/es/guias/secrets/secretspec.md#where-the-claim-file-goes) para saber dónde va el archivo.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secretspec register [--system] [--executable <path>] [--environment <name>]... [--force] [--dry-run]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Desactivado</td><td>Escribe la reivindicación para cada usuario del ordenador en lugar de solo para usted. Esto suele necesitar derechos de administrador.</td></tr><tr><td><code>--executable &#x3C;path></code></td><td>Este <code>devo</code></td><td>El ejecutable <code>devo</code> que registrar. La ruta debe ser absoluta y el archivo debe existir. Se rechaza una ruta al host <code>dotnet</code>: registre el ejecutable <code>devo</code> publicado.</td></tr><tr><td><code>--environment &#x3C;name></code> (<code>--env</code>)</td><td></td><td>Variable de entorno adicional que SecretSpec puede pasar a <code>devo</code>, por nombre exacto o por un prefijo que termina en <code>*</code>, como <code>DEVO_*</code>. Repítala para varias. Un nombre usa letras, dígitos y guiones bajos y no puede empezar por un dígito; cualquier otra cosa se rechaza. <code>RDM_CONFIG_PATH</code> y <code>DEVO_CLI_CONFIG_HOME</code> se incluyen siempre.</td></tr><tr><td><code>--force</code></td><td>Desactivado</td><td>Sustituye una reivindicación existente que registra un ejecutable que no es un ejecutable <code>devo</code>. Una reivindicación que apunta a otro ejecutable <code>devo</code> se sustituye sin <code>--force</code>.</td></tr><tr><td><code>--dry-run</code></td><td>Desactivado</td><td>Muestra la reivindicación que se escribiría, sin escribirla.</td></tr></tbody></table>

Si la misma reivindicación ya está en vigor, no se escribe nada y el comando la indica como sin cambios.

## devo secretspec unregister

Quita la reivindicación `devo.secretspec.json`, de modo que SecretSpec ya no inicia Devolutions CLI. Si no hay reivindicación, el comando la informa como ausente.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secretspec unregister [--system] [--dry-run]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Desactivado</td><td>Quita la reivindicación para cada usuario del ordenador en lugar de la suya.</td></tr><tr><td><code>--dry-run</code></td><td>Desactivado</td><td>Muestra la reivindicación que se quitaría, sin quitarla.</td></tr></tbody></table>

## devo secretspec status

Muestra la reivindicación de su usuario y la reivindicación del ordenador, y para cada una si apunta al `devo` que está ejecutando.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secretspec status
```

Este comando no tiene argumentos ni opciones propios.

## devo secretspec uri

Imprime el URI de proveedor que se pone en `secretspec.toml` para el espacio de trabajo seleccionado: el indicado con `--source` o `--context`, o el contexto actual.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secretspec uri --context <context-name> [--vault-id <vault-id>]
devo secretspec uri --source sqlite --workspace-id sqlite:<file-name>.db [--vault-id <vault-id>]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Bóveda predeterminada del proveedor. Un secreto aún puede nombrar su propia bóveda. Sin ella, cada secreto debe nombrar su bóveda.</td></tr><tr><td><code>--workspace-id &#x3C;id></code></td><td></td><td>Solo perfil local, y obligatorio ahí: el identificador del espacio de trabajo, escrito <code>sqlite:&#x3C;file-name>.db</code>, como <code>sqlite:Connections.db</code>. <code>devo workspace current</code> lo muestra. Se rechaza para Devolutions Cloud y Devolutions Server, cuyos URI seleccionan un contexto en su lugar.</td></tr></tbody></table>

## devo secretspec provider

Sirve el protocolo de proveedor de SecretSpec por la entrada y la salida estándar. SecretSpec lo inicia por su cuenta mediante la reivindicación registrada; usted no lo ejecuta.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo

```bash
devo secretspec provider
```

Este comando no tiene argumentos ni opciones propios.

## devo generate password

Genera una contraseña aleatoria segura en su ordenador. Siempre contiene al menos una letra minúscula, una letra mayúscula, un dígito y un símbolo de `!@#$%^&*?`. Como cada comando `devo generate`, no contacta con ningún espacio de trabajo ni inicia el proceso en segundo plano.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo (funciona solo en su ordenador)

```bash
devo generate password [--length <length>]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--length &#x3C;length></code></td><td><code>32</code></td><td>Longitud de la contraseña, de 8 a 4096. <code>0</code> o un valor negativo significa el valor predeterminado, 32. Cualquier otro valor fuera del intervalo se rechaza.</td></tr></tbody></table>

## devo generate human-readable

Genera una contraseña fácil de leer: sílabas minúsculas pronunciables, luego dígitos y luego símbolos.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo (funciona solo en su ordenador)

```bash
devo generate human-readable [--syllables <count>] [--numerics <count>] [--symbols <count>]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--syllables &#x3C;count></code></td><td><code>4</code></td><td>Número de sílabas, cada una una consonante y una vocal, de 1 a 64.</td></tr><tr><td><code>--numerics &#x3C;count></code></td><td><code>1</code></td><td>Número de dígitos añadidos después de las sílabas, de 0 a 64.</td></tr><tr><td><code>--symbols &#x3C;count></code></td><td><code>1</code></td><td>Número de símbolos de <code>!@#$%^&#x26;*?</code> añadidos al final, de 0 a 64.</td></tr></tbody></table>

## devo generate passphrase

Genera una frase de contraseña formada por palabras aleatorias de un diccionario.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo (funciona solo en su ordenador)

```bash
devo generate passphrase [--words <count>] [--separator <text>] [--dictionary <dictionary>]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--words &#x3C;count></code></td><td><code>5</code></td><td>Número de palabras, de 1 a 64.</td></tr><tr><td><code>--separator &#x3C;text></code></td><td><code>-</code></td><td>Texto colocado entre las palabras. Un valor vacío significa el valor predeterminado, <code>-</code>.</td></tr><tr><td><code>--dictionary &#x3C;dictionary></code></td><td><code>English</code></td><td>Lista de palabras: <code>English</code> (o <code>en</code>), <code>French</code> (o <code>fr</code>) o <code>German</code> (o <code>de</code>), en cualquier combinación de mayúsculas. Cualquier otro valor se rechaza.</td></tr></tbody></table>

## devo generate pattern

Genera una contraseña a partir de un patrón, un carácter por letra del patrón.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo (funciona solo en su ordenador)

```bash
devo generate pattern <pattern> [--shuffle]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>&#x3C;pattern></code></td><td></td><td>El patrón. Obligatorio, hasta 4096 letras. Cada letra da un carácter: <code>u</code> letra mayúscula, <code>l</code> letra minúscula, <code>d</code> dígito, <code>s</code> símbolo de <code>!@#$%^&#x26;*?</code>, <code>x</code> cualquiera de estos. Las letras se aceptan en cualquier caja; cualquier otro carácter se rechaza. Por ejemplo, <code>uulldds</code>.</td></tr><tr><td><code>--shuffle</code></td><td>Desactivado</td><td>Mezcla los caracteres generados, para que su orden ya no siga el patrón.</td></tr></tbody></table>

## devo generate ssh-key

Genera un par de claves RSA en su ordenador: una clave privada en formato PEM, cifrada cuando usted indica una frase de contraseña, y una clave pública en formato OpenSSH. La clave pública también se imprime.

**Espacio de trabajo:** Todos los tipos de espacio de trabajo (funciona solo en su ordenador)

```bash
devo generate ssh-key --out-file <path> [--bits <bits>] [--comment <text>] [--passphrase-env <variable> | --passphrase-file <path>] [--public-out-file <path>] [--force]
```

<table><thead><tr><th width="300">OPCIÓN</th><th width="130">PREDETERMINADO</th><th>QUÉ HACE</th></tr></thead><tbody><tr><td><code>--out-file &#x3C;path></code></td><td></td><td>Archivo de clave privada. Obligatorio. La carpeta debe existir. En macOS y Linux, solo su cuenta de usuario puede leer el archivo.</td></tr><tr><td><code>--public-out-file &#x3C;path></code></td><td><code>&#x3C;out-file>.pub</code></td><td>Archivo de clave pública. Debe ser distinto de <code>--out-file</code>.</td></tr><tr><td><code>--algorithm &#x3C;algorithm></code></td><td><code>rsa</code></td><td>Algoritmo de clave. <code>rsa</code> es el único valor admitido.</td></tr><tr><td><code>--bits &#x3C;bits></code></td><td><code>3072</code></td><td>Tamaño de clave RSA: <code>2048</code>, <code>3072</code> o <code>4096</code>. Cualquier otro valor se rechaza.</td></tr><tr><td><code>--comment &#x3C;text></code></td><td>Su nombre de usuario</td><td>Comentario al final de la clave pública. No puede contener caracteres de control.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Nombre de la variable de entorno que contiene la frase de contraseña que protege la clave privada. La variable debe estar definida y no vacía. Use esta opción o <code>--passphrase-file</code>, no ambas. Sin ninguna de las dos, la clave privada no se cifra.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Archivo que contiene la frase de contraseña. El archivo debe existir y no estar vacío; los saltos de línea al final se ignoran.</td></tr><tr><td><code>--force</code></td><td>Desactivado</td><td>Sobrescribe los archivos de clave si existen. Sin ella, se rechaza un archivo existente.</td></tr></tbody></table>

## Siguiente

* [Sign-in and context commands](/cli/es/referencia/commands/sign-in-and-contexts.md)
* [MCP, background process, and configuration commands](/cli/es/referencia/commands/mcp-daemon-config.md)
* [Secret reference syntax](/cli/es/referencia/secret-references.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/es/referencia/commands/secrets.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.