> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/fr/reference/commands/secrets.md).

# Commandes de secret

Toutes les options des commandes devo secret, devo secretspec et devo generate, avec les valeurs par défaut, les valeurs permises et les règles que Devolutions CLI vérifie.

Cette page énumère chaque argument et chaque option des commandes qui lisent, injectent et écrivent des secrets (`devo secret`), connectent SecretSpec (`devo secretspec`) et génèrent des mots de passe et des clés (`devo generate`). Pour un aperçu de toutes les commandes, consultez [Commandes](/cli/fr/reference/commands.md). Pour une aide étape par étape, consultez [Utiliser des secrets sans les exposer](/cli/fr/guides/secrets.md), [Exécuter une commande avec ses secrets](/cli/fr/guides/secrets/run-with-secrets.md), [Utiliser des secrets dans votre shell actuel](/cli/fr/guides/secrets/current-shell.md), [Remplir un fichier de configuration à partir d’un modèle](/cli/fr/guides/secrets/fill-a-template.md), [Mettre à jour un secret depuis un script](/cli/fr/guides/secrets/update-a-secret.md), [Utiliser Devolutions CLI avec SecretSpec](/cli/fr/guides/secrets/secretspec.md) et [Générer des mots de passe et des clés SSH](/cli/fr/guides/generate.md).

Les options que chaque commande accepte, comme `--context`, `--source` ou `--output json`, se trouvent dans [Options globales](/cli/fr/reference/global-options.md). La syntaxe des références `devo://` se trouve dans [Syntaxe des références de secret](/cli/fr/reference/secret-references.md).

{% hint style="warning" %}
`devo secret read`, `devo secret get`, `devo secret inject` et `devo secret shell enter` vous remettent la valeur : elle apparaît dans le terminal, dans un fichier ou dans votre session de shell. `devo secret run` est la seule commande qui la garde hors de votre terminal. Consultez [Ce qui reste caché, et ce qui ne l’est pas](/cli/fr/guides/understand/security-model.md).
{% endhint %}

## devo secret run

Exécute une commande avec des références résolues dans son environnement seulement. Les valeurs résolues sont remplacées par `<concealed by Devolutions>` dans ce que la commande affiche, sauf si vous ajoutez `--no-masking`.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret run [--env-ref <NAME>=<reference>]... [--env-file <path>] [--stdin-reference <reference>] [--timeout-seconds <seconds>] -- <command> [<arguments>]
devo secret run --manifest <path>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>-- &#x3C;command> [&#x3C;arguments>]</code></td><td></td><td>La commande à exécuter et ses arguments, après <code>--</code>. Obligatoire, à moins d’utiliser <code>--manifest</code>. Un argument qui est une référence est refusé : passez les références avec <code>--env-ref</code>, <code>--stdin-reference</code>, <code>--env-file</code> ou <code>--manifest</code>. Une référence à l’intérieur d’un argument plus long, comme <code>--password=devo://…</code>, n’est pas refusée, mais elle n’est pas résolue non plus.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Place la valeur d’une référence dans la variable d’environnement <code>NAME</code> de la commande. Répétez pour plusieurs variables. Le nom doit utiliser des lettres, des chiffres et des traits de soulignement, et ne peut pas commencer par un chiffre. La valeur doit être une référence <code>devo://</code> exacte.</td></tr><tr><td><code>--env-file &#x3C;path></code></td><td></td><td>Fichier d’environnement de lignes <code>KEY=value</code>. Les lignes vides et les lignes qui commencent par <code>#</code> sont ignorées ; les guillemets autour d’une valeur sont retirés. Les valeurs peuvent être des références. Une ligne sans <code>=</code> arrête la commande avec le code de sortie <code>2</code>. Une variable du fichier remplace une variable de votre environnement du même nom. Consultez <a href="/cli/fr/guides/secrets/replace-env-files.md">Retirer les mots de passe d’un fichier .env</a>.</td></tr><tr><td><code>--stdin-reference &#x3C;reference></code></td><td></td><td>Référence dont la valeur est écrite, exactement, vers l’entrée standard de la commande. Ce doit être une référence <code>devo://</code> exacte ; les références nommées et canoniques fonctionnent toutes les deux.</td></tr><tr><td><code>--manifest &#x3C;path></code></td><td></td><td>Manifeste de lancement : un fichier JSON versionné qui contient la commande, ses arguments, ses références et, facultativement, une référence d’entrée standard, un délai d’expiration et un dossier de travail (un dossier absolu qui existe). Ne peut pas être combiné avec <code>--env-ref</code>, <code>--env-file</code>, <code>--stdin-reference</code>, <code>--timeout-seconds</code> ou une commande après <code>--</code>. Avec un manifeste, les variables de votre environnement qui contiennent une référence ne sont pas résolues.</td></tr><tr><td><code>--timeout-seconds &#x3C;seconds></code></td><td>Aucun</td><td>Durée d’exécution maximale de la commande, supérieure à zéro. Quand elle est dépassée, la commande est arrêtée et <code>devo</code> se termine avec le code <code>124</code>. Sans elle, il n’y a pas de limite de temps.</td></tr><tr><td><code>--receipt-file &#x3C;path></code></td><td></td><td>Écrit un reçu du lancement après la fin de la commande : un fichier JSON avec le plan de lancement, les noms de variables, le code de sortie et la durée, sans aucune valeur. Le fichier ne doit pas encore exister. S’il existe, la commande s’exécute quand même, mais le reçu n’est pas écrit et <code>devo</code> se termine avec le code <code>1</code> au lieu du code de sortie de votre commande.</td></tr><tr><td><code>--check</code></td><td>Désactivé</td><td>Vérifie que la commande existe et que les références sont bien formées, sans lire aucun secret ni démarrer la commande. Sur un profil local, et pour une référence nommée, elle vérifie aussi que le coffre et l’entrée existent ; sur Devolutions Cloud et Devolutions Server, une référence canonique n’est pas recherchée. Ne peut pas être combiné avec <code>--dry-run</code>.</td></tr><tr><td><code>--dry-run</code></td><td>Désactivé</td><td>Vérifie le plan de lancement et l’affiche, sans contacter votre espace de travail, sans chercher la commande, sans lire de secret et sans démarrer la commande. Ne peut pas être combiné avec <code>--check</code>.</td></tr><tr><td><code>--no-masking</code></td><td>Désactivé</td><td>Cesse de remplacer les valeurs résolues par <code>&#x3C;concealed by Devolutions></code> dans ce que la commande affiche sur sa sortie standard et sa sortie d’erreur.</td></tr></tbody></table>

Outre `--env-ref` et `--env-file`, toute variable de votre environnement dont la valeur est une référence `devo://` est résolue pour la commande, sauf si vous utilisez `--manifest`. Le même nom de variable ne peut pas venir de deux sources, par exemple un `--env-ref` et une variable de votre environnement : la commande s’arrête à la place.

**Codes de sortie :** un lancement invalide, comme un `--env-ref` mal formé ou à la fois `--check` et `--dry-run`, se termine avec `2` avant que quoi que ce soit soit lu. Un délai expiré se termine avec `124`, une annulation avec <kbd>Ctrl</kbd>+<kbd>C</kbd> avec `130`. Sinon, `devo secret run` se termine avec le code de sortie de votre commande. Consultez [Codes de sortie et erreurs](/cli/fr/reference/exit-codes-and-errors.md).

## devo secret read

Lit une référence et écrit la valeur dans le terminal ou dans un fichier.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret read <reference> [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>&#x3C;reference></code></td><td></td><td>La référence à lire, comme <code>devo://&#x3C;workspace>/&#x3C;vault>/&#x3C;entry>/password</code>. Obligatoire. Une référence mal formée est refusée avant toute lecture. Consultez <a href="/cli/fr/reference/secret-references.md">Syntaxe des références de secret</a>.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td></td><td>Quoi lire au sujet du champ : <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> ou <code>purpose</code>, sans tenir compte de la casse. <code>otp</code> est accepté, mais ne retourne rien. Toute autre valeur est refusée. Sans cette option, le <code>?attribute=</code> propre à la référence s’applique, ou <code>value</code>. Consultez <a href="/cli/fr/reference/secret-references.md#attributes">Attributs</a>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Écrit la valeur dans un fichier au lieu du terminal. Le dossier doit exister et le chemin ne peut pas être un dossier. Avec la sortie texte, rien d’autre n’est affiché ; avec <code>--output json</code>, le résultat est affiché sans la valeur.</td></tr><tr><td><code>--force</code></td><td>Désactivé</td><td>Écrase le fichier <code>--out-file</code> s’il existe. Sans cette option, un fichier existant est refusé.</td></tr><tr><td><code>--raw</code></td><td>Désactivé</td><td>Avec la sortie texte, écrit exactement la valeur sur la sortie standard, sans saut de ligne à la fin. Sans cela, un saut de ligne suit la valeur.</td></tr></tbody></table>

## devo secret get

Lit un champ d’une entrée de l’espace de travail sélectionné, par nom ou ID d’entrée, sans écrire de référence.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret get <field> <entry> [--vault <vault>] [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
devo secret get <field> id:<entry-id> --vault-id <vault-id>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>Le champ à lire, comme <code>password</code>, <code>username</code>, <code>domain</code>, <code>host</code>, <code>otp</code> ou <code>privatekey</code>. Obligatoire. Devolutions Server lit toute propriété de données de l’entrée.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>Le nom de l’entrée, ou son ID avec <code>id:&#x3C;value></code> ou <code>--id</code>. Obligatoire.</td></tr><tr><td><code>--id</code></td><td>Désactivé</td><td>Traite <code>&#x3C;entry></code> comme un ID.</td></tr><tr><td><code>--workspace &#x3C;workspace></code></td><td>Espace de travail actuel</td><td>Espace de travail de l’entrée, par nom ou par ID.</td></tr><tr><td><code>--vault &#x3C;vault></code></td><td>Coffre actuel</td><td>Coffre de l’entrée, par nom ou par ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Coffre de l’entrée, par ID. A priorité sur <code>--vault</code>. Avec un ID d’entrée et aucune option de coffre, le coffre actuel est utilisé ; si aucun coffre n’est sélectionné, la commande demande <code>--vault-id</code>.</td></tr><tr><td><code>--section &#x3C;section></code></td><td></td><td>Section du champ, quand le champ est dans une section. Ne peut pas être combinée avec un ID d’entrée ni avec les options de phrase de passe.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td><code>value</code></td><td>Ce qu’il faut lire au sujet du champ : <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> ou <code>purpose</code>. <code>otp</code> est accepté, mais ne retourne rien. Avec une option de phrase de passe, seul <code>value</code> est accepté.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Profil local seulement : nom de la variable d’environnement qui contient la phrase de passe d’un espace de travail protégé. Refusé sur Devolutions Cloud et Devolutions Server. Exige l’ID de l’entrée (<code>id:&#x3C;value></code> ou <code>--id</code>). Avec une option de phrase de passe, seul le champ <code>password</code> peut être lu, une seule des deux options de phrase de passe peut être donnée, seule la sortie texte est acceptée, et sans <code>--vault-id</code> ou <code>--vault</code> le coffre par défaut de l’espace de travail est utilisé.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Profil local seulement : fichier privé qui contient la phrase de passe d’un espace de travail protégé. Mêmes règles que <code>--passphrase-env</code>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Écrit la valeur dans un fichier au lieu du terminal. Mêmes règles que pour <code>devo secret read</code>.</td></tr><tr><td><code>--force</code></td><td>Désactivé</td><td>Écrase le fichier <code>--out-file</code> s’il existe.</td></tr><tr><td><code>--raw</code></td><td>Désactivé</td><td>Avec une sortie texte, écrit exactement la valeur sur la sortie standard, sans saut de ligne à la fin.</td></tr></tbody></table>

## devo secret set

Écrit un champ secret d’une entrée, avec la nouvelle valeur provenant d’une variable d’environnement ou d’un fichier. La nouvelle valeur n’est jamais affichée.

**Espace de travail :** Tous les types d’espace de travail. Devolutions Server écrit toute propriété de données de l’entrée ; Devolutions Cloud et les profils locaux n’écrivent que `password`.

```bash
devo secret set <field> <entry> --value-env <variable> --yes
devo secret set <field> <entry> --value-file <path> --yes
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>Le champ à écrire. Obligatoire. Sur Devolutions Cloud et un profil local, tout champ autre que <code>password</code> est refusé avec une erreur qui dit que l’espace de travail n’accepte les écritures que dans le champ du mot de passe.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>Le nom de l’entrée, ou son ID avec <code>id:&#x3C;value></code> ou <code>--id</code>. Obligatoire.</td></tr><tr><td><code>--id</code></td><td>Désactivé</td><td>Traite <code>&#x3C;entry></code> comme un ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Coffre de l’entrée, par ID. Sur un profil local, avec un ID d’entrée et sans <code>--vault-id</code>, le coffre par défaut de l’espace de travail est utilisé. Sur Devolutions Cloud, sans elle, le coffre actuel est utilisé.</td></tr><tr><td><code>--value-env &#x3C;variable></code></td><td></td><td>Nom de la variable d’environnement qui contient la nouvelle valeur. Utilisez exactement l’un de <code>--value-env</code> ou <code>--value-file</code>.</td></tr><tr><td><code>--value-file &#x3C;path></code></td><td></td><td>Fichier qui contient la nouvelle valeur.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Profil local seulement : nom de la variable d’environnement qui contient la phrase de passe d’un espace de travail protégé. Refusée sur Devolutions Cloud et Devolutions Server.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td><code>&#x3C;workspace file>.passphrase</code></td><td>Profil local seulement : fichier privé qui contient la phrase de passe d’un espace de travail protégé. Sans aucune option de phrase de passe, le fichier <code>&#x3C;workspace file>.passphrase</code> du dossier du profil est utilisé. Refusé sur Devolutions Cloud et Devolutions Server.</td></tr><tr><td><code>--yes</code> (<code>-y</code>, <code>--confirmed</code>)</td><td>Désactivé</td><td>Confirme la modification. Obligatoire : sans elle, rien n’est écrit.</td></tr></tbody></table>

## devo secret inject

Remplace les références dans un texte, depuis l’entrée standard ou un fichier, par leurs valeurs.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret inject [--in-file <path>] [--out-file <path> [--force]]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--in-file &#x3C;path></code> (<code>-i</code>)</td><td>Entrée standard</td><td>Modèle à lire.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td>Sortie standard</td><td>Fichier à écrire. Le dossier doit exister et le chemin ne peut pas être un dossier.</td></tr><tr><td><code>--force</code></td><td>Désactivé</td><td>Écrase le fichier <code>--out-file</code> s’il existe. Sans cette option, un fichier existant est refusé.</td></tr></tbody></table>

Si une référence du modèle ne peut pas être résolue, rien n’est écrit et la commande se termine avec le code `1`. Avec `--output json` ou `--output yaml`, la commande affiche un résumé au lieu du texte rempli : utilisez `--out-file` pour obtenir le texte. Consultez [Remplir un fichier de configuration à partir d’un modèle](/cli/fr/guides/secrets/fill-a-template.md).

## devo secret shell enter

Affiche du code shell qui charge les références dans votre session Bash ou PowerShell actuelle. Exécutez ce code avec `eval` (Bash) ou `Invoke-Expression` (PowerShell). Consultez [Utiliser des secrets dans votre shell actuel](/cli/fr/guides/secrets/current-shell.md).

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret shell enter --shell <bash|pwsh> --env-ref <NAME>=<reference> [--env-ref ...] [--check --output json]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell pour lequel écrire le code : <code>bash</code>, ou <code>pwsh</code> (<code>powershell</code> fonctionne de la même façon). Obligatoire. Toute autre valeur est refusée.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Variable à charger et sa référence. Répétez pour plusieurs variables. Au moins une est obligatoire. Chaque nom doit être unique, sans tenir compte de la casse. La commande ne lit pas votre environnement ni les fichiers <code>.env</code>.</td></tr><tr><td><code>--check</code></td><td>Désactivé</td><td>Vérifie les références, comme le fait <code>devo secret run --check</code>, sans lire aucun secret ni écrire de code de shell. Nécessite <code>--output json</code>.</td></tr></tbody></table>

Sans `--check`, la commande a besoin d’une sortie texte, pour que le shell puisse exécuter ce qu’elle affiche. Si une référence ne peut pas être lue, rien n’est affiché sur la sortie standard et la commande se termine avec un code non nul.

## devo secret shell leave

Affiche du code de shell qui annule le `devo secret shell enter` le plus récent, en restaurant chaque variable comme elle était avant.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret shell leave --shell <bash|pwsh>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell pour lequel écrire le code : <code>bash</code> ou <code>pwsh</code> (<code>powershell</code> fait la même chose). Obligatoire. Utilisez la même valeur que pour <code>enter</code>. La commande a besoin d’une sortie texte.</td></tr></tbody></table>

## devo secret shell status

Indique si une portée de `devo secret shell enter` est active dans le shell actuel, combien de portées sont imbriquées, et les noms des variables définies par la plus récente. Il n’affiche jamais les valeurs.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret shell status --shell <bash|pwsh> --output json
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell à inspecter : <code>bash</code> ou <code>pwsh</code> (<code>powershell</code> fait la même chose). Obligatoire. La commande a besoin de <code>--output json</code>.</td></tr></tbody></table>

## devo secret catalog entry

Énumère les références `devo://` des champs d’une entrée, prêtes à copier, sans aucune valeur. Identique à `devo entry references`. Consultez [Trouver la référence d’un secret](/cli/fr/guides/secrets/find-a-reference.md).

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret catalog entry <entry> [--vault-name <vault> | --vault-id <id>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>&#x3C;entry></code></td><td></td><td>Le nom de l’entrée, ou son ID avec <code>id:&#x3C;value></code> ou <code>--id</code>. Obligatoire.</td></tr><tr><td><code>--id</code></td><td>Désactivé</td><td>Traite <code>&#x3C;entry></code> comme un ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Coffre de l’entrée, par ID. Sur Devolutions Cloud, sans option de coffre, le coffre actuel est utilisé.</td></tr><tr><td><code>--vault-name &#x3C;name></code></td><td></td><td>Coffre de l’entrée, par nom.</td></tr></tbody></table>

## devo secret capabilities

Décrit, pour Devolutions Cloud, Devolutions Server et les profils locaux, ce que les commandes de secret prennent en charge, comme les champs qui peuvent être lus et écrits. Aucune valeur n’est retournée, et aucun espace de travail n’est contacté.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secret capabilities --output json
```

Cette commande n’a ni argument ni option qui lui soient propres.

## devo secretspec register

Inscrit ce `devo` comme fournisseur SecretSpec pour les URI de fournisseur `devo://`, en écrivant un fichier de revendication `devo.secretspec.json`. Consultez [Utiliser Devolutions CLI avec SecretSpec](/cli/fr/guides/secrets/secretspec.md#where-the-claim-file-goes) pour savoir où va le fichier.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secretspec register [--system] [--executable <path>] [--environment <name>]... [--force] [--dry-run]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Désactivé</td><td>Écrit la revendication pour chaque utilisateur de l’ordinateur au lieu de vous seulement. Cela exige habituellement des droits d’administrateur.</td></tr><tr><td><code>--executable &#x3C;path></code></td><td>Ce <code>devo</code></td><td>L’exécutable <code>devo</code> à inscrire. Le chemin doit être absolu et le fichier doit exister. Un chemin vers l’hôte <code>dotnet</code> est refusé : inscrivez l’exécutable <code>devo</code> publié.</td></tr><tr><td><code>--environment &#x3C;name></code> (<code>--env</code>)</td><td></td><td>Variable d’environnement supplémentaire que SecretSpec peut passer à <code>devo</code>, par nom exact ou par préfixe se terminant par <code>*</code>, comme <code>DEVO_*</code>. Répétez pour plusieurs. Un nom utilise des lettres, des chiffres et des traits de soulignement et ne peut pas commencer par un chiffre ; tout le reste est refusé. <code>RDM_CONFIG_PATH</code> et <code>DEVO_CLI_CONFIG_HOME</code> sont toujours inclus.</td></tr><tr><td><code>--force</code></td><td>Désactivé</td><td>Remplace une revendication existante qui inscrit un exécutable qui n’est pas un exécutable <code>devo</code>. Une revendication qui pointe vers un autre exécutable <code>devo</code> est remplacée sans <code>--force</code>.</td></tr><tr><td><code>--dry-run</code></td><td>Désactivé</td><td>Affiche la revendication qui serait écrite, sans l’écrire.</td></tr></tbody></table>

Si la même revendication est déjà en place, rien n’est écrit et la commande la signale comme inchangée.

## devo secretspec unregister

Retire la revendication `devo.secretspec.json`, de sorte que SecretSpec ne démarre plus Devolutions CLI. S’il n’y a pas de revendication, la commande la signale comme absente.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secretspec unregister [--system] [--dry-run]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Désactivé</td><td>Retire la revendication pour chaque utilisateur de l’ordinateur au lieu de la vôtre.</td></tr><tr><td><code>--dry-run</code></td><td>Désactivé</td><td>Affiche la revendication qui serait retirée, sans la retirer.</td></tr></tbody></table>

## devo secretspec status

Affiche la revendication de votre utilisateur et la revendication de l’ordinateur, et pour chacune si elle pointe vers le `devo` que vous exécutez.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secretspec status
```

Cette commande n’a ni argument ni option qui lui soient propres.

## devo secretspec uri

Affiche l’URI de fournisseur à placer dans `secretspec.toml` pour l’espace de travail sélectionné : celui donné avec `--source` ou `--context`, ou le contexte actuel.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secretspec uri --context <context-name> [--vault-id <vault-id>]
devo secretspec uri --source sqlite --workspace-id sqlite:<file-name>.db [--vault-id <vault-id>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Coffre par défaut du fournisseur. Un secret peut encore nommer son propre coffre. Sans cela, chaque secret doit nommer son coffre.</td></tr><tr><td><code>--workspace-id &#x3C;id></code></td><td></td><td>Profil local seulement, et obligatoire là : l’ID de l’espace de travail, écrit <code>sqlite:&#x3C;file-name>.db</code>, comme <code>sqlite:Connections.db</code>. <code>devo workspace current</code> l’affiche. Refusé pour Devolutions Cloud et Devolutions Server, dont les URI sélectionnent un contexte à la place.</td></tr></tbody></table>

## devo secretspec provider

Sert le protocole de fournisseur SecretSpec sur l’entrée et la sortie standard. SecretSpec le démarre de lui-même par la revendication enregistrée ; vous ne l’exécutez pas vous-même.

**Espace de travail :** Tous les types d’espace de travail

```bash
devo secretspec provider
```

Cette commande n’a ni argument ni option qui lui soient propres.

## devo generate password

Génère un mot de passe aléatoire robuste sur votre ordinateur. Il contient toujours au moins une lettre minuscule, une lettre majuscule, un chiffre et un symbole de `!@#$%^&*?`. Comme chaque commande `devo generate`, il ne contacte aucun espace de travail et ne démarre pas le processus en arrière-plan.

**Espace de travail :** Tous les types d’espace de travail (fonctionne sur votre ordinateur seulement)

```bash
devo generate password [--length <length>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--length &#x3C;length></code></td><td><code>32</code></td><td>Longueur du mot de passe, de 8 à 4096. <code>0</code> ou une valeur négative signifie la valeur par défaut, 32. Toute autre valeur hors de la plage est refusée.</td></tr></tbody></table>

## devo generate human-readable

Génère un mot de passe facile à lire : syllabes minuscules prononçables, puis des chiffres, puis des symboles.

**Espace de travail :** Tous les types d’espace de travail (fonctionne sur votre ordinateur seulement)

```bash
devo generate human-readable [--syllables <count>] [--numerics <count>] [--symbols <count>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--syllables &#x3C;count></code></td><td><code>4</code></td><td>Nombre de syllabes, chacune une consonne et une voyelle, de 1 à 64.</td></tr><tr><td><code>--numerics &#x3C;count></code></td><td><code>1</code></td><td>Nombre de chiffres ajoutés après les syllabes, de 0 à 64.</td></tr><tr><td><code>--symbols &#x3C;count></code></td><td><code>1</code></td><td>Nombre de symboles de <code>!@#$%^&#x26;*?</code> ajoutés à la fin, de 0 à 64.</td></tr></tbody></table>

## devo generate passphrase

Génère une phrase de passe faite de mots aléatoires tirés d’un dictionnaire.

**Espace de travail :** Tous les types d’espace de travail (fonctionne sur votre ordinateur seulement)

```bash
devo generate passphrase [--words <count>] [--separator <text>] [--dictionary <dictionary>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--words &#x3C;count></code></td><td><code>5</code></td><td>Nombre de mots, de 1 à 64.</td></tr><tr><td><code>--separator &#x3C;text></code></td><td><code>-</code></td><td>Texte placé entre les mots. Une valeur vide signifie la valeur par défaut, <code>-</code>.</td></tr><tr><td><code>--dictionary &#x3C;dictionary></code></td><td><code>English</code></td><td>Liste de mots : <code>English</code> (ou <code>en</code>), <code>French</code> (ou <code>fr</code>) ou <code>German</code> (ou <code>de</code>), dans n’importe quelle casse. Toute autre valeur est refusée.</td></tr></tbody></table>

## devo generate pattern

Génère un mot de passe à partir d’un motif, un caractère par lettre du motif.

**Espace de travail :** Tous les types d’espace de travail (fonctionne sur votre ordinateur seulement)

```bash
devo generate pattern <pattern> [--shuffle]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>&#x3C;pattern></code></td><td></td><td>Le motif. Obligatoire, jusqu’à 4096 lettres. Chaque lettre donne un caractère : <code>u</code> lettre majuscule, <code>l</code> lettre minuscule, <code>d</code> chiffre, <code>s</code> symbole parmi <code>!@#$%^&#x26;*?</code>, <code>x</code> n’importe lequel de ceux-ci. Les lettres sont acceptées dans n’importe quelle casse ; tout autre caractère est refusé. Par exemple, <code>uulldds</code>.</td></tr><tr><td><code>--shuffle</code></td><td>Désactivé</td><td>Mélange les caractères générés, pour que leur ordre ne suive plus le motif.</td></tr></tbody></table>

## devo generate ssh-key

Génère une paire de clés RSA sur votre ordinateur : une clé privée au format PEM, chiffrée lorsque vous donnez une phrase de passe, et une clé publique au format OpenSSH. La clé publique est aussi affichée.

**Espace de travail :** Tous les types d’espace de travail (fonctionne sur votre ordinateur seulement)

```bash
devo generate ssh-key --out-file <path> [--bits <bits>] [--comment <text>] [--passphrase-env <variable> | --passphrase-file <path>] [--public-out-file <path>] [--force]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">PAR DÉFAUT</th><th>CE QU’IL FAIT</th></tr></thead><tbody><tr><td><code>--out-file &#x3C;path></code></td><td></td><td>Fichier de clé privée. Obligatoire. Le dossier doit exister. Sur macOS et Linux, seul votre compte d’utilisateur peut lire le fichier.</td></tr><tr><td><code>--public-out-file &#x3C;path></code></td><td><code>&#x3C;out-file>.pub</code></td><td>Fichier de clé publique. Il doit être différent de <code>--out-file</code>.</td></tr><tr><td><code>--algorithm &#x3C;algorithm></code></td><td><code>rsa</code></td><td>Algorithme de clé. <code>rsa</code> est la seule valeur prise en charge.</td></tr><tr><td><code>--bits &#x3C;bits></code></td><td><code>3072</code></td><td>Taille de clé RSA : <code>2048</code>, <code>3072</code> ou <code>4096</code>. Toute autre valeur est refusée.</td></tr><tr><td><code>--comment &#x3C;text></code></td><td>Votre nom d’utilisateur</td><td>Commentaire à la fin de la clé publique. Il ne peut pas contenir de caractères de contrôle.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Nom de la variable d’environnement qui contient la phrase de passe qui protège la clé privée. La variable doit être définie et non vide. Utilisez cette option ou <code>--passphrase-file</code>, pas les deux. Sans aucune des deux, la clé privée n’est pas chiffrée.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Fichier qui contient la phrase de passe. Le fichier doit exister et ne pas être vide ; les sauts de ligne à la fin sont ignorés.</td></tr><tr><td><code>--force</code></td><td>Désactivé</td><td>Écrase les fichiers de clé s’ils existent. Sans cette option, un fichier existant est refusé.</td></tr></tbody></table>

## Suivant

* [Sign-in and context commands](/cli/fr/reference/commands/sign-in-and-contexts.md)
* [MCP, background process, and configuration commands](/cli/fr/reference/commands/mcp-daemon-config.md)
* [Secret reference syntax](/cli/fr/reference/secret-references.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/fr/reference/commands/secrets.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.