FAQ: безопасность, маскирование и анализ трафика
39 быстрых ответов о настройках, решениях и типовых ошибках.
Используйте оглавление или поиск по вопросу. Каждый ответ ведёт непосредственно к полю настройки и подробной инструкции.
Как отключить маскирование?
verdict_classes / «Только классы вердикта» не выключает замену: меняется повторный поиск. Для изменения обработки конкретного класса меняйте правило политики и проверяйте итоговое действие, режим ключа и остальные активные правила.
Как отключить анализ трафика?
Отключение автообновления, ленты или уведомлений не останавливает инспекцию. Выберите нужный механизм: действие политики, режим ключа Router, экспорт или хранение контента; общего переключателя этих механизмов нет.
Чем отличаются auto и verdict_classes?
Auto повторно ищет известные приватные значения; verdict_classes опирается на классы первичного вердикта. Оба допускают замену. off / false в совместимых masking-параметрах означают verdict_classes.
Что такое KEY_N и почему замены отличаются между запросами?
KEY_N — плейсхолдер словаря замены. Стабильность зависит от сессии маскирования, её владельца, TTL и хранилища. Используйте поддерживаемый session_id для диалога; истёкшая или другая сессия может иметь другой словарь.
Почему вместо маскирования получилась блокировка или on-prem?
Вердикт может быть немаскируемым: заменить отдельные значения недостаточно, чтобы убрать конфиденциальный смысл. Тогда система повышает изоляцию; при отсутствии пригодного закрытого маршрута возможна блокировка. Проверьте reason и доступность провайдеров.
Что делать при ложном срабатывании DLP или injection?
Найдите Request ID, вердикт, point и победившее правило; воспроизведите на учебном обезличенном примере. Уточните конкретный детектор или scope правила на staging и повторите положительные/отрицательные проверки. Не отключайте всю защиту ради одной записи.
Почему в аудите нет исходного текста?
Метаданные могут храниться без исходного контента. Проверьте включён ли сбор, права на чтение, retention и наличие записи в отдельном хранилище. Ранее несохранённый или удалённый текст не восстановится включением сбора сейчас.
Отключает ли 0 дней запись аудита?
Нет. 0 выключает автоматическую очистку записей, а не запись новых решений. TTL сессии маскирования и retention исходного контента регулируются отдельно.
Пауза или Откл отключают защиту?
В отчётах это остановка отображения/обновления. Пауза политики Secure прекращает участие конкретной политики; другие политики остаются. Всегда проверяйте, к какому объекту относится кнопка.
Почему в отчёте нет событий?
Проверьте tenant, время UTC, фильтры, выбранный источник и наличие реального трафика. Ring buffer ограничен размером и перезапуском. Ошибка 503 — недоступность источника, не подтверждение отсутствия угроз.
Что делать с 401 или 403?
401: восстановите сессию либо проверьте inference-ключ, срок и отзыв. 403: проверьте роль, tenant-scoped права и редакцию функции. Ключ для /v1 не заменяет административную сессию консоли.
Почему настройки не сохраняются: 422?
Сервер отверг документ. Прочитайте ошибку: действие, значение условия, scope или отсутствующий fallback. Сверьте JSON с каноническим контрактом; варианты устаревшей формы могут отличаться. Отклонённая запись не считается применённой.
Почему нет раздела или кнопки редактирования?
Проверьте роль пользователя, редакцию/лицензию и подключённые компоненты. Наличие раздела в справочнике не выдаёт права и не включает Preview-runtime. Сначала уточните доступ у администратора своей организации.
Если выключить Alert Rules или webhook, DLP продолжит работать?
Да: правило оповещения считает события, а подписка доставляет их. Инспекция, защитные действия политики и запись аудита — отдельные механизмы.
Почему webhook не доставляет события?
Проверьте enabled, список событий, URL и подтверждение подписи у получателя. В deliveries смотрите HTTP-ответ/ошибку; ping/replay действительно отправляют событие. Генерация alert не доказывает получение.
Как настроить таймаут или circuit breaker классификатора?
Эти параметры меняет оператор сервиса; Classifier Health показывает состояние и историю. Передайте нужное значение и единицу измерения, затем проверьте отказ/восстановление и решение запроса на staging.
Почему клиент не может уменьшить маскирование?
Router ограничивает итоговый режим параметром floor. При floor=auto запрос verdict_classes повышается до auto. Проверьте «Минимальная защита» и заголовок фактического режима ответа.
Чем strict отличается от external_unrestricted?
Strict применяет классификацию и политику; external_unrestricted выводит трафик наружу без Secure screening. Это существенно меняет защиту, но не выключает аутентификацию, квоты и биллинг.
Где включить external_masked?
Текущий UI предлагает два режима. Третий поддерживается серверным контрактом и настраивается поддерживаемым API управления ключами в подходящей версии; не ищите отсутствующую кнопку в форме.
Почему запрос пошёл не к выбранной модели?
Сначала решается допустимый периметр и доступность провайдеров, затем предпочтение модели. Проверьте порядок правил, action/perimeter, weight и circuit breaker. Model hint клиента не понижает приватность.
Что означают Max out, Max prompt, 413 и 429?
Max out — токены ответа; Max prompt — символы промпта, превышение даёт 413. 429 означает ограничение частоты: проверьте RPS/Burst и вид трафика в Квотах. Месячные max_requests/max_cost_usd задаются отдельно. RPM/TPM и дневной бюджет в этих формах не настраиваются; 0 снимает конкретный per-request потолок.
Почему нет thinking в истории?
Нужны поддерживаемая модель/вывод reasoning и сохранение соответствующего контента. reasoning_effort задаёт бюджет модели; клиентское значение имеет приоритет. Настройка хранения сама не создаёт thinking.
Workflows, WASM и E2EE доступны всем?
Это Preview-разделы, обычно скрытые; нужен соответствующий agent-runner/runtime. Их наличие на учебном скриншоте не означает доступности в вашем стенде.
Почему задача worker не видна в Запросах Router?
Это разные источники. Откройте «Задачи клиентов» и ищите ID задания; прямые вызовы /v1 ищите в «Запросы Router». Успех одного источника не является доказательством другого.
Как включить external_masked, если режима нет в форме?
Администратор: GET /admin/keys → id тестового ключа → PATCH /admin/keys/
Какие content_type допустимы в политике Router?
GENERAL, CODE, ARCHITECTURE, RESEARCH; пустой список означает любой тип. Это категории вердикта классификатора, не MIME-типы. text/json/image/audio/document из некоторых форм могут получить 422; задайте канонический список в JSON и сравните с реальным вердиктом.
Как задать 10000 запросов и 50 USD в месяц?
Квоты → Добавить квоту → свой Tenant ID → Макс. запросов / месяц: 10000 → Макс. стоимость USD / месяц: 50 → Порог предупреждения: 80 → Добавить. Для существующей записи используйте Редактировать → Сохранить. Проверьте Postgres активен и перечитайте строку после Обновить.
Почему RPS = 0 по-разному работает в двух формах?
Лимиты по тенантам принимают RPS 1–1000; Burst 0 выбирает RPS × 2. Альтернативная форма Лимиты запросов тенантов допускает RPS 0 для unlimited. Удаление override возвращает глобальный лимит и не означает unlimited. Не переносите смысл нуля между формами.
Почему квота видна, но не сохраняется: «только файл»?
Чтение файловой квоты работает без PostgreSQL, а запись/удаление override требуют хранилища. Оператор восстанавливает Postgres; после этого повторите сохранение и чтение. Обновить не сбрасывает consumption; Сброс использования — отдельное действие, позволяющее снова расходовать квоту.
Выключает ли предупреждения значение 0%?
Нет: warn_at_pct=0 у gateway означает default 80%. Форма хранит 80% как 0.8. Для управления отдельными уведомлениями измените Активно в Alert Rules/webhook; отрицательное файловое/API значение предупреждения относится к операторскому контракту, а не полю 0–100%.
Клиент создан, но приглашение не пришло — создавать заново?
Сначала Клиенты · администрирование → Обновить: сохранение аккаунта и отправка письма — разные этапы. Если запись существует, исправьте доставку и нажмите Отправить приглашение в её карточке. Не создавайте дубликат. Уведомить о сохранённых настройках отправляет отдельное письмо; включение флага само письмо не отправляет.
Как временно закрыть клиенту доступ и затем вернуть?
Клиенты · администрирование → строка клиента → снять Доступ разрешён → Сохранить настройки. Перечитайте запись и проверьте отказ клиентской сессии/ключа. Для восстановления включите флаг, сохраните и повторите вход. Фильтр tenant и выключение email-уведомлений не закрывают доступ.
Как убедиться, что настройка реально применена?
После Сохранить нажмите Обновить или повторите GET нужного объекта; сравните значение, возвращённое сервером. Затем выполните обезличенный запрос и проверьте Request ID/action в аудите. Для уведомлений дополнительно проверьте deliveries и получателя. Runtime-настройка не обещает сохранение после рестарта без соответствующего хранилища.
Где в форме Workflows настроить цепочку выполнения?
В текущей Preview-форме есть только имя. Она создаёт запись workflow; графического редактора цепочки нет. План и исполнение настраиваются поддерживаемым agent-runner API. Работу подтверждает завершённый тестовый запуск runtime, а не карточка workflow.
Почему «Загрузить плагин» в WASM не открывает форму?
Это ограничение текущего Preview: uploader этой кнопки не реализован. Передайте manifest.json, plugin.wasm и подпись через поддерживаемый процесс оператора agent-runner. Регистрация артефакта не включает его автоматически в маршрутизацию или DLP.
Создание tenant завершилось ошибкой — можно повторить мастер?
Перед повтором проверьте Ключи доступа и Квоты: мастер мог создать ключ до ошибки следующего этапа. Сверьте tenant и сохранённые лимиты. Не выдавайте лишний секрет; ненужный ключ отзовите. Создание ключа/квоты не заменяет отдельного приглашения клиента в SSO.
Как войти в операторские «Клиенты» и «Группы»?
Откройте операторскую консоль и выберите штатный вход через IAM.Identity. Используйте профиль, которому уже выданы операторские права именно в Router / LLMOps. Права в IAM.Market не назначают права Router автоматически. Gateway admin token и inference key не заменяют сессию LLMOps. После входа откройте «Группы», обновите страницу и убедитесь, что доступ сохранился. Пошаговый вход и проверка прав.
Почему выбранный сверху tenant не подставился в политику?
Верхний выбор tenant используется для навигации и фильтрации истории. В разделе «Политика» есть отдельное поле «Tenant ID»: введите его, нажмите «Загрузить» и проверьте подпись tenant документа. Унаследованный документ может содержать tenant_id: "*"; при сохранении собственного override путь и tenant_id должны совпадать. При tenant_mismatch изменение не применено. Не исправляйте ошибку выбором глобального tenant.
Сохранение политики Router видно не на каждом запросе — что проверить?
В многорепличном Router действует фоновая загрузка overrides из PostgreSQL. Сразу после записи другая реплика может ещё показывать прежний документ. На staging 15.10.2026 после ожидания обе реплики прочитали один и тот же override тестового tenant; глобальная политика осталась неизменной. Перечитайте документ после интервала синхронизации, проверьте версию и контрольный запрос. Если состояние не сходится, передайте оператору tenant, версию и время; повторное нажатие «Сохранить» не заменяет проверку реплик.