# secrets

Сертификат и приватный ключ приложения Azure AD, под которым сервис
`hr-appeals-auth` получает app-only токен. **В git не попадают** — всё
содержимое каталога, кроме этого файла, в `.gitignore`.

Положите сюда два файла (взять у администратора):

```
secrets/
  SPFxDeploy_cert.pem
  SPFxDeploy_key.pem
```

Имена фиксированные — их ждёт [server/src/config.ts](../server/src/config.ts).

## Подменить каталог целиком

Путь задаётся одной переменной `SECRETS_DIR`, поэтому каталог можно заменить
не трогая код:

```bash
SECRETS_DIR=/path/to/other/secrets npm run dev --prefix server
```

По умолчанию — этот каталог. В продовом контейнере `SECRETS_DIR=/certs`, куда
смонтирован каталог с хоста: путь на хосте задаёт `GRAPH_CERT_DIR` в `.env`
рядом с `docker-compose.yml` на сервере.

## Если ключ утёк

Сертификат перевыпускается в Azure AD (App registrations → нужное приложение →
Certificates & secrets), старый оттуда удаляется. Замена файлов здесь без этого
ничего не даёт: Azure AD продолжит принимать подпись старым ключом.