blaipr · Nov 4, 2026
diff --git a/i18n/ca/_configure/credentials/list.md b/i18n/ca/_configure/credentials/list.md
@@ -3,7 +3,7 @@ layout: default
 title: La pàgina de credencials
 parent: Credencials
 nav_order: 2
-translated_from: 986d768c15d0b91bdc3760026bd904d3f89ff3e0
+translated_from: d801d981c9a2a1f17a66580c8af2c49ee567c8eb
 ---
 
 # La pàgina de credencials
@@ -21,7 +21,7 @@ nombre de registres, formularis i workflows que la nomenen (vegeu [Credencials e
 |---|---|
 | Credencial | Nom i descripció, tots dos obligatoris. |
 | Tipus | Un de 18 tipus, vegeu més avall. |
-| Magatzem | On es desen l'usuari i la contrasenya: **Base de dades** (xifrats a la base de dades d'AnsibleForms) o **Magatzem de secrets**, amb el magatzem i la **Referència** que hi ha dins. No per a CyberArk ni HashiCorp Vault, amb els quals inicia sessió un magatzem de secrets. La **Referència** apareix quan s'ha triat un magatzem; el seu exemple segueix el magatzem: un camí de HashiCorp Vault o un compte de CyberArk. |
+| Magatzem | On es guarden l'usuari i la contrasenya: **Base de dades** (xifrats a la base de dades d'AnsibleForms) o **Magatzem de secrets**. Sota **Magatzem de secrets**, **Apunta a una clau** llegeix un secret que ja és al magatzem, i **Escriu a una clau** escriu al magatzem, en **Desar**, l'usuari i la contrasenya escrits al pas **Accés**. Després tria el magatzem i omple la **Referència**; el seu exemple segueix el magatzem: un camí de HashiCorp Vault o un compte de CyberArk. No per a CyberArk ni HashiCorp Vault, amb els quals inicia la sessió un magatzem de secrets. |
 | Accés | Amb què i on inicia sessió el tipus, vegeu més avall. |
 
 El pas **Tipus** llista els tipus pel seu nom: AAP, API, Ascender, AWX, CyberArk, Base de dades, Git, HashiCorp Vault, Jenkins, LDAP,
@@ -41,7 +41,9 @@ El pas **Accés** conté tots els camps del tipus, l'adreça inclosa; no hi ha c
 | HashiCorp Vault, CyberArk, RTE, AWX, AAP, Ascender, Semaphore, Rundeck, Jenkins | **Servidor**, l'adreça on inicia sessió, obligatori, amb **Omet la verificació del certificat** i el **Paquet de CA** |
 | CyberArk | **Certificat de client** i **Clau del client** |
 
-Amb **Magatzem de secrets**, no es demanen l'usuari ni la contrasenya: els dona el magatzem. El pas **Accés** només conserva els camps d'adreça del tipus (SSH, base de dades, servidors de correu i de directori, l'adreça d'un servidor), i un accés simple (Usuari i contrasenya, Git, API) no té pas **Accés**: es desa des del pas **Magatzem**.
+Amb **Apunta a una clau**, no es demanen l'usuari ni la contrasenya: els dona el magatzem. El pas **Accés** només conserva els camps d'adreça del tipus (SSH, base de dades, servidors de correu i de directori, l'adreça d'un servidor), i un accés simple (Usuari i contrasenya, Git, API) no té pas **Accés**: es desa des del pas **Magatzem**.
+
+Amb **Escriu a una clau** (des de 7.6.0), el pas **Accés** demana l'usuari i la contrasenya, i **Desa** els escriu al magatzem a la **Referència**; AnsibleForms només en conserva el magatzem i la referència. Només s'ofereixen els magatzems que permeten escriure, i **Afegeix un magatzem de secrets** en crea un amb l'escriptura ja activada. Una clau que ja té un secret només es reemplaça si **Sobreescriu un secret que ja hi sigui** està marcat, vegeu [Escriure credencials](../secret-stores/#writing-credentials).
 
 Una fila obre la pàgina pròpia de la credencial. El seu menú ofereix **Edita**, **Prova la connexió** (només credencials de base de dades) i **Suprimeix**. La
 contrasenya es canvia a la pàgina de la credencial, a la seva pestanya **Accés**.
diff --git a/i18n/ca/_configure/secret-stores/cyberark.md b/i18n/ca/_configure/secret-stores/cyberark.md
@@ -3,13 +3,13 @@ layout: default
 title: CyberArk
 parent: Magatzems de secrets
 nav_order: 2
-translated_from: f001addbd5578169444a321ab9e668e54139842b
+translated_from: 2c82742312515c87bc1c83fea368929c0a32bfb3
 ---
 
 # CyberArk
 {: .no_toc }
 
-Llegeix credencials del CyberArk Central Credential Provider (CCP)
+Llegir credencials a través del CCP de CyberArk, escriure-les a través del seu PVWA
 {: .fs-6 .fw-300 }
 
 1. TOC
@@ -54,6 +54,30 @@ Query=Safe=Linux;Folder=Root;Object=root-srv01
 
 ---
 
+## Escriure credencials
+
+Des de 7.6.0, l'usuari i la contrasenya d'una credencial es poden escriure a CyberArk en **Desar** (vegeu [Escriure credencials](./#writing-credentials)).
+El CCP només llegeix, així que AnsibleForms escriu a través de l'API REST del PVWA, amb una credencial pròpia.
+
+Activa **Permet l'escriptura** a les **Opcions** del magatzem i omple:
+
+| Camp | Significat |
+|---|---|
+| Permet l'escriptura | Permet que una credencial escrigui el seu usuari i contrasenya en aquest magatzem en **Desar**. Desactivat per defecte. |
+| Caixes fortes on escriure | Les caixes fortes on es poden escriure credencials, separades per comes, p. ex. `Linux, DB`. Obligatori amb l'escriptura activada. |
+| Adreça del PVWA | L'URL base del PVWA, p. ex. `https://pvwa.example.com`. Obligatòria. |
+| Credencial del PVWA | Una credencial pròpia de tipus **Usuari i contrasenya** o **API**, mai llegida d'un magatzem de secrets, que pot afegir comptes a aquestes caixes fortes i canviar-ne les contrasenyes. Obligatòria. |
+| Mètode d'inici de sessió | Com inicia la sessió la credencial del PVWA: CyberArk (per defecte), LDAP, RADIUS o Windows. |
+| ID de plataforma | La plataforma dels comptes que afegeix, p. ex. `UnixSSH`. Necessari per afegir un compte nou. |
+
+La referència anomena el compte com en llegir, `Safe=Linux;Object=srv01-root`, amb `Address=srv01.example.com` quan la seva plataforma en necessita una.
+
+- Un compte nou s'afegeix a la caixa forta amb la plataforma, el nom d'usuari i la contrasenya.
+- Un compte existent només es canvia si **Sobreescriu un secret que ja hi sigui** està marcat: primer el nom d'usuari, després la contrasenya.
+- La sessió del PVWA es tanca després de cada escriptura. L'inici de sessió OAuth de Privilege Cloud no és compatible.
+
+---
+
 ## Opcions addicionals
 
 Les opcions addicionals del magatzem es defineixen com a objecte JSON:

diff --git a/i18n/ca/_configure/secret-stores/hashicorp-vault.md b/i18n/ca/_configure/secret-stores/hashicorp-vault.md
@@ -3,13 +3,13 @@ layout: default
 title: HashiCorp Vault
 parent: Magatzems de secrets
 nav_order: 1
-translated_from: 33cbbea1ca86bf474182d220bd6824af81aa752f
+translated_from: 1134189481b234cb2b18edbabd74427e37d2f43c
 ---
 
 # HashiCorp Vault
 {: .no_toc }
 
-Llegeix credencials d'HashiCorp Vault, de KV v1 o v2 o d'un motor de secrets dinàmics
+Llegir i escriure credencials a HashiCorp Vault KV, llegir secrets dinàmics
 {: .fs-6 .fw-300 }
 
 1. TOC
@@ -33,6 +33,30 @@ s'insereix quan no el poses.
 
 ---
 
+## Escriure credencials
+
+Des de 7.6.0, l'usuari i la contrasenya d'una credencial es poden escriure al Vault en **Desar** (vegeu [Escriure credencials](./#writing-credentials)).
+
+Activa **Permet l'escriptura** a les **Opcions** del magatzem, i indica on pot escriure:
+
+| Camp | Significat |
+|---|---|
+| Permet l'escriptura | Permet que una credencial escrigui el seu usuari i contrasenya en aquest magatzem en **Desar**. Desactivat per defecte. |
+| Prefix d'escriptura | El camí on, o sota el qual, s'escriuen les credencials, p. ex. `secret/ansibleforms`. Un muntatge sol, p. ex. `secret`, permet tot el muntatge. Obligatori amb l'escriptura activada. |
+
+El secret s'escriu com a `username` i `password`, a KV v2 o v1 segons la **Versió KV** del magatzem. El testimoni necessita les capacitats
+read, create i update sota el prefix; read comprova si ja hi ha un secret. Per a KV v2 i el prefix `secret/ansibleforms`:
+
+```hcl
+path "secret/data/ansibleforms/*" {
+  capabilities = ["read", "create", "update"]
+}
+```
+
+El camí d'un motor de secrets dinàmics, p. ex. `database/creds/readonly`, no s'escriu mai: Vault crea aquestes credencials ell mateix.
+
+---
+
 ## Credencials dinàmiques de base de dades
 
 Una referència de la forma `<mount>/creds/<role>`, p. ex. `database/creds/readonly`, llegeix d'un

diff --git a/i18n/ca/_configure/secret-stores/index.md b/i18n/ca/_configure/secret-stores/index.md
@@ -5,21 +5,21 @@ nav_order: 14
 has_children: true
 has_toc: false
 permalink: /secret-stores/
-translated_from: c7e5d9fb5e640896bd51e3fa20d76be092857ce2
+translated_from: 46ee77acbbf03c7b7536aa87ab0f44f0d486de6f
 ---
 
 # Magatzems de secrets
 {: .no_toc }
 
-Llegeix les credencials d'un gestor de secrets en lloc de desar-les a AnsibleForms
+Llegir i escriure credencials en un gestor de secrets en lloc d'a AnsibleForms
 {: .fs-6 .fw-300 }
 
 1. TOC
 {:toc}
 
 ---
 
-Per a administradors: connecta un gestor de secrets, i deixa que les credencials en llegeixin l'usuari i la contrasenya.
+Per als administradors: connectar un gestor de secrets, perquè les credencials en llegeixin l'usuari i la contrasenya o els hi escriguin.
 
 ---
 
@@ -41,6 +41,8 @@ res als teus formularis.
 | HashiCorp Vault (KV v1 i v2, autenticació per token) | disponible |
 | Credencials dinàmiques d'HashiCorp Vault (`<mount>/creds/<role>`) | experimental |
 | CyberArk Central Credential Provider (CCP) | experimental |
+| Escriptura de credencials a HashiCorp Vault KV | disponible |
+| Escriptura de credencials a CyberArk, a través del seu PVWA | experimental |
 
 ---
 
@@ -75,8 +77,8 @@ Cada gestor de secrets té la seva pròpia pàgina:
 
 ### En una credencial
 
-A **Connexions > Credencials**, al pas **Magatzem** de la credencial, tria **Magatzem de secrets**, després tria el
-**Magatzem de secrets** i omple la **Referència**. L'usuari i la contrasenya es llegeixen llavors del magatzem, no s'escriuen.
+A **Connexions > Credencials**, al pas **Magatzem** de la credencial, tria **Magatzem de secrets** i **Apunta a una clau**, després
+tria el **Magatzem de secrets** i omple la **Referència**. L'usuari i la contrasenya es llegeixen llavors del magatzem, no s'escriuen.
 
 ### En línia, sense fila de credencial
 
@@ -133,6 +135,26 @@ fn.fnCredentials('vault:secret/weird', '', '.creds | { user: .u, password: .p }'
 
 ---
 
+## Escriure credencials
+
+Des de 7.6.0, l'usuari i la contrasenya d'una credencial es poden escriure en un magatzem en desar-la, sense haver-los de posar-hi abans.
+
+Al pas **Magatzem** de la credencial, tria **Magatzem de secrets** i **Escriu a una clau**, tria el magatzem i omple la **Referència**.
+El pas **Accés** demana llavors l'usuari i la contrasenya, i **Desa** els escriu al magatzem; AnsibleForms només en conserva el magatzem i la referència.
+
+- Només s'ofereix un magatzem amb **Permet l'escriptura** activat a les seves **Opcions**, i només escriu on les seves opcions ho permeten.
+- Una clau que ja té un secret només es reemplaça si **Sobreescriu un secret que ja hi sigui** està marcat; si no, no s'escriu ni es desa res.
+- Només un admin pot escriure, i cada escriptura s'audita com a `credential.secret_write`, sense el secret.
+
+Com es configura cada gestor de secrets per escriure:
+
+| Pàgina | Què hi trobaràs |
+|---|---|
+| [HashiCorp Vault](hashicorp-vault.html#writing-credentials) | Un prefix d'escriptura, i les capacitats del testimoni |
+| [CyberArk](cyberark.html#writing-credentials) | Les caixes fortes, i el PVWA amb la seva credencial i plataforma |
+
+---
+
 ## A la llavor de configuració
 
 Els magatzems també es poden declarar a la llavor de configuració, com els altres objectes d'administració:
@@ -161,7 +183,8 @@ credentials:
 
 El magatzem inicia sessió amb la seva credencial: una de `vault` conté l'adreça del Vault a `url` i el token com a contrasenya, una de `cyberark`
 l'AppID i l'adreça del CCP. Sense credencial, es fan servir l'`url` i el `token` propis del magatzem.
-Per als detalls, vegeu [Llavor de configuració](../seed).
+Un magatzem que permet escriure defineix `write_enabled: true` i `write_prefix` (a CyberArk, les seves caixes fortes), i un CyberArk també `pvwa_url`,
+`pvwa_credential`, `pvwa_auth` i `platform_id`. Per als detalls, vegeu [Llavor de configuració](../seed).
 
 ---
 

diff --git a/i18n/de/_configure/credentials/list.md b/i18n/de/_configure/credentials/list.md
@@ -3,7 +3,7 @@ layout: default
 title: Die Seite Anmeldedaten
 parent: Anmeldedaten
 nav_order: 2
-translated_from: 986d768c15d0b91bdc3760026bd904d3f89ff3e0
+translated_from: d801d981c9a2a1f17a66580c8af2c49ee567c8eb
 ---
 
 # Die Seite Anmeldedaten
@@ -21,7 +21,7 @@ Anzahl der Datensätze, Formulare und Workflows, die sie nennen (siehe [Verwende
 |---|---|
 | Anmeldedaten | Name und Beschreibung, beide erforderlich. |
 | Typ | Einer von 18 Typen, siehe unten. |
-| Speicher | Wo Benutzer und Passwort gespeichert werden: **Datenbank** (verschlüsselt in der AnsibleForms-Datenbank) oder **Secret Store**, mit dem Store und der **Referenz** darin. Nicht für CyberArk und HashiCorp Vault, mit denen sich ein Secret Store anmeldet. Die **Referenz** erscheint, sobald ein Store gewählt ist; ihr Beispiel folgt dem Store: ein HashiCorp-Vault-Pfad oder ein CyberArk-Konto. |
+| Speicher | Wo Benutzer und Passwort gespeichert werden: **Datenbank** (verschlüsselt in der AnsibleForms-Datenbank) oder **Secret Store**. Unter **Secret Store** liest **Auf einen Schlüssel verweisen** ein Secret, das schon im Store liegt, und **In einen Schlüssel schreiben** schreibt die im Schritt **Anmeldung** eingegebenen Benutzer und Passwort beim **Speichern** in den Store. Wählen Sie dann den Store und füllen Sie die **Referenz** aus; ihr Beispiel folgt dem Store: ein HashiCorp-Vault-Pfad oder ein CyberArk-Konto. Nicht für CyberArk und HashiCorp Vault, mit denen sich ein Secret Store anmeldet. |
 | Anmeldung | Womit und wo sich der Typ anmeldet, siehe unten. |
 
 Der Schritt **Typ** listet die Typen nach Namen auf: AAP, API, Ascender, AWX, CyberArk, Datenbank, Git, HashiCorp Vault, Jenkins, LDAP,
@@ -41,7 +41,9 @@ Der Schritt **Anmeldung** enthält jedes Feld des Typs, die Adresse eingeschloss
 | HashiCorp Vault, CyberArk, RTE, AWX, AAP, Ascender, Semaphore, Rundeck, Jenkins | **Server**, die Adresse, bei der er sich anmeldet, erforderlich, mit **Zertifikatsprüfung überspringen** und dem **CA-Bundle** |
 | CyberArk | **Client-Zertifikat** und **Client-Schlüssel** |
 
-Mit **Secret Store** werden Benutzer und Passwort nicht abgefragt: Der Store liefert sie. Der Schritt **Anmeldung** behält dann nur die Adressfelder des Typs (SSH, Datenbank, Mail- und Verzeichnisserver, eine Serveradresse), und eine einfache Anmeldung (Benutzer und Passwort, Git, API) hat gar keinen Schritt **Anmeldung**: Sie wird im Schritt **Speicher** gespeichert.
+Mit **Auf einen Schlüssel verweisen** werden Benutzer und Passwort nicht abgefragt: Der Store liefert sie. Der Schritt **Anmeldung** behält dann nur die Adressfelder des Typs (SSH, Datenbank, Mail- und Verzeichnisserver, eine Serveradresse), und eine einfache Anmeldung (Benutzer und Passwort, Git, API) hat gar keinen Schritt **Anmeldung**: Sie wird im Schritt **Speicher** gespeichert.
+
+Mit **In einen Schlüssel schreiben** (ab 7.6.0) fragt der Schritt **Anmeldung** Benutzer und Passwort ab, und **Speichern** schreibt sie an der **Referenz** in den Store; AnsibleForms behält nur Store und Referenz. Angeboten werden nur Stores, die Schreiben erlauben, und **Secret Store hinzufügen** legt einen mit bereits eingeschaltetem Schreiben an. Ein Schlüssel, der schon ein Secret enthält, wird nur ersetzt, wenn **Ein vorhandenes Geheimnis überschreiben** angehakt ist, siehe [Anmeldedaten schreiben](../secret-stores/#writing-credentials).
 
 Eine Zeile öffnet die eigene Seite des Eintrags. Ihr Menü bietet **Bearbeiten**, **Verbindung testen** (nur bei Datenbank-Anmeldedaten) und **Löschen**. Das
 Passwort wird auf der Seite des Eintrags geändert, in seinem Tab **Anmeldung**.
diff --git a/i18n/de/_configure/secret-stores/cyberark.md b/i18n/de/_configure/secret-stores/cyberark.md
@@ -3,13 +3,13 @@ layout: default
 title: CyberArk
 parent: Secret Stores
 nav_order: 2
-translated_from: f001addbd5578169444a321ab9e668e54139842b
+translated_from: 2c82742312515c87bc1c83fea368929c0a32bfb3
 ---
 
 # CyberArk
 {: .no_toc }
 
-Anmeldedaten aus dem CyberArk Central Credential Provider (CCP) lesen
+Anmeldedaten über das CyberArk CCP lesen, über sein PVWA schreiben
 {: .fs-6 .fw-300 }
 
 1. TOC
@@ -54,6 +54,30 @@ Query=Safe=Linux;Folder=Root;Object=root-srv01
 
 ---
 
+## Anmeldedaten schreiben
+
+Ab 7.6.0 können Benutzer und Passwort von Anmeldedaten beim **Speichern** in CyberArk geschrieben werden (siehe [Anmeldedaten schreiben](./#writing-credentials)).
+Das CCP liest nur, daher schreibt AnsibleForms über die PVWA-REST-API, angemeldet mit eigenen Anmeldedaten.
+
+Schalten Sie **Schreiben erlauben** in den **Optionen** des Stores ein, und füllen Sie dann aus:
+
+| Feld | Bedeutung |
+|---|---|
+| Schreiben erlauben | Erlaubt Anmeldedaten, beim **Speichern** Benutzer und Passwort in diesen Store zu schreiben. Standardmäßig aus. |
+| Safes zum Schreiben | Die Safes, in die Anmeldedaten geschrieben werden dürfen, durch Kommas getrennt, z. B. `Linux, DB`. Bei eingeschaltetem Schreiben erforderlich. |
+| PVWA-Adresse | Die Basis-URL des PVWA, z. B. `https://pvwa.example.com`. Erforderlich. |
+| PVWA-Anmeldeinformation | Eigene Anmeldedaten vom Typ **Benutzer und Passwort** oder **API**, nie aus einem Secret Store gelesen, die in diesen Safes Konten anlegen und deren Passwörter ändern dürfen. Erforderlich. |
+| Anmeldemethode | Wie sich die PVWA-Anmeldeinformation anmeldet: CyberArk (Standard), LDAP, RADIUS oder Windows. |
+| Plattform-ID | Die Plattform der angelegten Konten, z. B. `UnixSSH`. Zum Anlegen eines neuen Kontos nötig. |
+
+Die Referenz nennt das Konto wie beim Lesen, `Safe=Linux;Object=srv01-root`, mit `Address=srv01.example.com`, wenn seine Plattform eine braucht.
+
+- Ein neues Konto wird mit Plattform, Benutzername und Passwort im Safe angelegt.
+- Ein vorhandenes Konto wird nur geändert, wenn **Ein vorhandenes Geheimnis überschreiben** angehakt ist: erst der Benutzername, dann das Passwort.
+- Die PVWA-Sitzung wird nach jedem Schreiben abgemeldet. Die OAuth-Anmeldung von Privilege Cloud wird nicht unterstützt.
+
+---
+
 ## Zusätzliche Optionen
 
 Die zusätzlichen Optionen des Stores werden als JSON-Objekt gesetzt:

diff --git a/i18n/de/_configure/secret-stores/hashicorp-vault.md b/i18n/de/_configure/secret-stores/hashicorp-vault.md
@@ -3,13 +3,13 @@ layout: default
 title: HashiCorp Vault
 parent: Secret Stores
 nav_order: 1
-translated_from: 33cbbea1ca86bf474182d220bd6824af81aa752f
+translated_from: 1134189481b234cb2b18edbabd74427e37d2f43c
 ---
 
 # HashiCorp Vault
 {: .no_toc }
 
-Anmeldedaten aus HashiCorp Vault lesen, aus KV v1 oder v2 oder einer Engine für dynamische Secrets
+Anmeldedaten in HashiCorp Vault KV lesen und schreiben, dynamische Secrets lesen
 {: .fs-6 .fw-300 }
 
 1. TOC
@@ -33,6 +33,30 @@ eingefügt, wenn Sie es weglassen.
 
 ---
 
+## Anmeldedaten schreiben
+
+Ab 7.6.0 können Benutzer und Passwort von Anmeldedaten beim **Speichern** in den Vault geschrieben werden (siehe [Anmeldedaten schreiben](./#writing-credentials)).
+
+Schalten Sie **Schreiben erlauben** in den **Optionen** des Stores ein, und legen Sie fest, wohin er schreiben darf:
+
+| Feld | Bedeutung |
+|---|---|
+| Schreiben erlauben | Erlaubt Anmeldedaten, beim **Speichern** Benutzer und Passwort in diesen Store zu schreiben. Standardmäßig aus. |
+| Schreibpräfix | Der Pfad, an oder unter dem Anmeldedaten geschrieben werden, z. B. `secret/ansibleforms`. Ein Mount allein, z. B. `secret`, erlaubt den ganzen Mount. Bei eingeschaltetem Schreiben erforderlich. |
+
+Das Secret wird als `username` und `password` geschrieben, in KV v2 oder v1, wie die **KV-Version** des Stores es angibt. Das Token braucht die
+Fähigkeiten read, create und update unterhalb des Präfixes; read prüft, ob dort schon ein Secret liegt. Für KV v2 und das Präfix `secret/ansibleforms`:
+
+```hcl
+path "secret/data/ansibleforms/*" {
+  capabilities = ["read", "create", "update"]
+}
+```
+
+Der Pfad einer Engine für dynamische Secrets, z. B. `database/creds/readonly`, wird nie beschrieben: Vault erzeugt diese Anmeldedaten selbst.
+
+---
+
 ## Dynamische Datenbank-Anmeldedaten
 
 Eine Referenz der Form `<mount>/creds/<role>`, z. B. `database/creds/readonly`, liest aus einer