diff --git a/docs/uk/reference/secretref-credential-surface.md b/docs/uk/reference/secretref-credential-surface.md
index 9caf385f1..1cc61b3d3 100644
--- a/docs/uk/reference/secretref-credential-surface.md
+++ b/docs/uk/reference/secretref-credential-surface.md
@@ -1,15 +1,15 @@
 ---
 read_when:
-    - Перевірка охоплення облікових даних SecretRef
-    - Аудит того, чи придатні облікові дані для `secrets configure` або `secrets apply`
+    - Перевірка покриття облікових даних SecretRef
+    - Аудит того, чи облікові дані підпадають під `secrets configure` або `secrets apply`
     - Перевірка, чому облікові дані перебувають поза підтримуваною поверхнею
 summary: Канонічна підтримувана та непідтримувана поверхня облікових даних SecretRef
 title: Поверхня облікових даних SecretRef
 x-i18n:
-    generated_at: "2026-04-05T18:15:53Z"
+    generated_at: "2026-04-06T16:23:36Z"
     model: gpt-5.4
     provider: openai
-    source_hash: bf997389de1dae8c059d8dfbf186eda979f864de632a033177d6cd5e5544675d
+    source_hash: 211f4b504c5808f7790683066fc2c8b700c705c598f220a264daf971b81cc593
     source_path: reference/secretref-credential-surface.md
     workflow: 15
 ---
@@ -18,10 +18,10 @@ x-i18n:
 
 Ця сторінка визначає канонічну поверхню облікових даних SecretRef.
 
-Намір щодо області охоплення:
+Наміри щодо сфери охоплення:
 
-- У межах області: строго облікові дані, надані користувачем, які OpenClaw не випускає та не ротує.
-- Поза областю: облікові дані, що випускаються або ротуються під час runtime, матеріали оновлення OAuth та артефакти, подібні до сеансів.
+- У сфері охоплення: виключно облікові дані, надані користувачем, які OpenClaw не створює і не ротує.
+- Поза сферою охоплення: облікові дані, що створюються або ротуються під час виконання, матеріали OAuth refresh і артефакти, подібні до сесій.
 
 ## Підтримувані облікові дані
 
@@ -48,7 +48,6 @@ x-i18n:
 - `talk.providers.*.apiKey`
 - `messages.tts.providers.*.apiKey`
 - `tools.web.fetch.firecrawl.apiKey`
-- `plugins.entries.firecrawl.config.webFetch.apiKey`
 - `plugins.entries.brave.config.webSearch.apiKey`
 - `plugins.entries.google.config.webSearch.apiKey`
 - `plugins.entries.xai.config.webSearch.apiKey`
@@ -122,19 +121,19 @@ x-i18n:
 
 - Цілі плану auth-profile вимагають `agentId`.
 - Записи плану націлюються на `profiles.*.key` / `profiles.*.token` і записують сусідні посилання (`keyRef` / `tokenRef`).
-- Посилання auth-profile включено до охоплення визначення під час runtime та аудиту.
-- Захист політики OAuth: `auth.profiles.<id>.mode = "oauth"` не можна поєднувати з вхідними даними SecretRef для цього профілю. Якщо цю політику порушено, startup/reload і визначення auth-profile завершуються негайною помилкою.
-- Для провайдерів моделей під керуванням SecretRef згенеровані записи `agents/*/agent/models.json` зберігають несекретні маркери (а не визначені секретні значення) для поверхонь `apiKey`/header.
-- Збереження маркерів є авторитетним щодо джерела: OpenClaw записує маркери з активного знімка вихідної конфігурації (до визначення), а не з визначених секретних значень runtime.
+- Посилання auth-profile включені в покриття розв’язання під час виконання та аудиту.
+- Захист політики OAuth: `auth.profiles.<id>.mode = "oauth"` не можна поєднувати з входами SecretRef для цього профілю. Запуск/перезавантаження та розв’язання auth-profile аварійно завершуються одразу, якщо цю політику порушено.
+- Для постачальників моделей, керованих SecretRef, згенеровані записи `agents/*/agent/models.json` зберігають не секретні маркери (а не розв’язані секретні значення) для поверхонь `apiKey`/заголовків.
+- Збереження маркерів є авторитетним щодо джерела: OpenClaw записує маркери з активного знімка конфігурації джерела (до розв’язання), а не з розв’язаних значень секретів під час виконання.
 - Для вебпошуку:
-  - У режимі явного провайдера (коли задано `tools.web.search.provider`) активним є лише ключ вибраного провайдера.
-  - В автоматичному режимі (коли `tools.web.search.provider` не задано) активним є лише перший ключ провайдера, що визначається за пріоритетом.
-  - В автоматичному режимі посилання непозначених провайдерів вважаються неактивними, доки їх не буде вибрано.
-  - Застарілі шляхи провайдерів `tools.web.search.*` і далі визначаються в межах вікна сумісності, але канонічна поверхня SecretRef — це `plugins.entries.<plugin>.config.webSearch.*`.
+  - У режимі явного постачальника (`tools.web.search.provider` задано) активним є лише ключ вибраного постачальника.
+  - В автоматичному режимі (`tools.web.search.provider` не задано) активним є лише перший ключ постачальника, який розв’язується за пріоритетом.
+  - В автоматичному режимі посилання не вибраних постачальників вважаються неактивними, доки їх не буде вибрано.
+  - Застарілі шляхи постачальників `tools.web.search.*` усе ще розв’язуються протягом вікна сумісності, але канонічна поверхня SecretRef — це `plugins.entries.<plugin>.config.webSearch.*`.
 
 ## Непідтримувані облікові дані
 
-До облікових даних поза областю охоплення належать:
+Облікові дані поза сферою охоплення включають:
 
 [//]: # "secretref-unsupported-list-start"
 
@@ -152,4 +151,4 @@ x-i18n:
 
 Обґрунтування:
 
-- Ці облікові дані належать до класів, що випускаються, ротуються, містять сеанс або є довготривалими для OAuth, і не підходять для зовнішнього визначення SecretRef лише для читання.
+- Це створювані, ротаційні, сесійні або OAuth-стійкі класи облікових даних, які не відповідають моделі розв’язання зовнішнього SecretRef лише для читання.