Ou construisez-le d'abord :```bash
cargo build -p ironclaw_reborn_cli --bin ironclaw-reborn
./target/debug/ironclaw-reborn --help

`config path` et `doctor` sont des diagnostics sûrs ; ils rapportent le home résolu, le profil, `config.toml`, `providers.json`, et `v1_state: not-used`.
Ils ne créent pas d'état Reborn ni de fichiers de configuration initiaux.

### Configurer la route du modèle

La méthode CLI-native pour configurer la route de modèle par défaut de Reborn est :```bash
export IRONCLAW_REBORN_HOME="$PWD/.reborn-home"
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- models set-provider openai --model gpt-5-mini

Pour OpenAI, définissez la valeur secrète dans l'environnement avant de commencer :```bash
export OPENAI_API_KEY="sk-..."
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- run --message "hello"

### `config.toml` structure

`config init` crée des fichiers de démarrage modifiables :```bash
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- config init

`config.toml` peut également inclure des sections optionnelles telles que `[boot]`,
`[identity]`, `[runner]` et `[skills]` ; `config init` écrit des instructions
commentées pour les champs pris en charge.

Si `config.toml` est manquant, le premier démarrage d'exécution avec état via
`run`, `repl` ou `serve` génère un fichier sparse avec `api_version` et le profil
de démarrage `local-dev` sécurisé. Les commandes en lecture seule et
`run --dry-run` restent sans effet de bord. Les sélections d'environnement
ponctuelles comme `IRONCLAW_REBORN_PROFILE=local-dev-yolo` ne sont pas
persistées dans le fichier généré.

Important : `api_key_env` est le nom d'une variable d'environnement, pas le secret
lui-même. Reborn rejette les valeurs secrètes inline dans `config.toml` et
`providers.json`.

Le stockage de production utilise le même modèle exclusif aux variables d'environnement.
Une configuration Reborn de production peut nommer la variable d'URL PostgreSQL,
mais ne doit pas contenir l'URL brute :```toml
[storage]
backend = "postgres"
url_env = "IRONCLAW_REBORN_POSTGRES_URL"
secret_master_key_env = "IRONCLAW_REBORN_SECRET_MASTER_KEY"
# Optional; defaults to 2. Keep below the PostgreSQL server or managed
# session-pool cap after reserving capacity for restarts and operator sessions.
pool_max_size = 2

[policy]
deployment_mode = "hosted_multi_tenant"
default_profile = "secure_default"

Variables d'environnement communes aux fournisseurs :

| Fournisseur | Sélecteur | Env requis |
| --- | --- | --- |
| OpenAI | `LLM_BACKEND=openai` | `OPENAI_API_KEY` ; optionnel `OPENAI_MODEL`, `OPENAI_BASE_URL` |
| Anthropic | `LLM_BACKEND=anthropic` | `ANTHROPIC_API_KEY` ; optionnel `ANTHROPIC_MODEL`, `ANTHROPIC_BASE_URL` |
| Compatible OpenAI | `LLM_BACKEND=openai_compatible` | `LLM_BASE_URL` ; optionnel `LLM_API_KEY`, `LLM_MODEL` |
| OpenRouter | `LLM_BACKEND=openrouter` | `OPENROUTER_API_KEY` ; optionnel `OPENROUTER_MODEL` |
| Ollama | `LLM_BACKEND=ollama` | pas de clé ; optionnel `OLLAMA_BASE_URL`, `OLLAMA_MODEL` |
| Codex auth | `LLM_BACKEND=openai_codex` | `LLM_USE_CODEX_AUTH=true` ou `CODEX_AUTH_PATH` ; optionnel `OPENAI_CODEX_MODEL` |

Utilisez `models list <provider>` pour voir les métadonnées exactes du fournisseur compilées dans la branche actuelle.

### Variables de démarrage

| Variable | Objectif |
| --- | --- |
| `IRONCLAW_REBORN_HOME` | Racine absolue de l'état Reborn. Par défaut `$HOME/.ironclaw/reborn`. Le résolveur rejette les chemins non sécurisés et les alias de racine d'état v1 tels que `$HOME/.ironclaw`. |
| `IRONCLAW_REBORN_PROFILE` | Sélecteur de profil de démarrage. Valeurs prises en charge : `local-dev`, `local-dev-yolo`, `hosted-single-tenant`, `hosted-single-tenant-volume`, `production`, `migration-dry-run`. |
| `IRONCLAW_REBORN_POSTGRES_URL` | URL de stockage PostgreSQL de production lorsque `[storage].backend = "postgres"` et `[storage].url_env` nomme cette variable. Gardez-la hors de `config.toml` ; les fournisseurs distants doivent utiliser TLS. |
| `IRONCLAW_REBORN_POSTGRES_POOL_MAX_SIZE` | Remplacement optionnel de la taille du pool de clients PostgreSQL Reborn. Utilisez-le lorsqu'un fournisseur géré impose une petite limite de pool de sessions. |
| `IRONCLAW_FILESYSTEM_POSTGRES_MIGRATION_CONNECT_MAX_WAIT_SECS` | Fenêtre d'attente optionnelle au démarrage pour les tentatives de connexion de migration de système de fichiers Postgres. Par défaut 300 secondes. |
| `IRONCLAW_REBORN_SECRET_MASTER_KEY` | Clé maître secrète Reborn de production lorsque `[storage].secret_master_key_env` nomme cette variable. Gardez-la indépendante de l'URL de la base de données et hors de `config.toml`. |
| `IRONCLAW_REBORN_LOG` | Filtre de traçage pour le binaire Reborn, par exemple `debug,ironclaw_runner=trace`. |

`run` et `repl` prennent actuellement en charge la composition d'exécution locale via `local-dev`, `local-dev-yolo` et `hosted-single-tenant-volume`.
`hosted-single-tenant-volume` utilise le substrat libSQL d'exécution locale sous `$IRONCLAW_REBORN_HOME/hosted-single-tenant-volume`, résout la politique d'exécution sécurisée par défaut hébergée et désactive les outils basés sur des processus tels que le shell.
Il est destiné aux déploiements d'aperçu monoténant sur un volume persistant, et non à la composition complète de production PostgreSQL.

`local-dev-yolo` accorde l'accès à l'hôte du portable de confiance et doit être confirmé explicitement :```bash
export IRONCLAW_REBORN_PROFILE=local-dev-yolo
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- repl --confirm-host-access

L'écouteur WebUI utilise par défaut `127.0.0.1:3000`. Le service nécessite un jeton env-bearer et un identifiant utilisateur au démarrage. Il a également besoin de la route du modèle de la section précédente, y compris la variable d'environnement des informations d'identification de ce fournisseur :```bash
export IRONCLAW_REBORN_HOME="$PWD/.reborn-home"
export OPENAI_API_KEY="sk-..." # or the required env var for your configured provider
export IRONCLAW_REBORN_WEBUI_TOKEN="$(openssl rand -hex 32)"
export IRONCLAW_REBORN_WEBUI_USER_ID="reborn-cli"

cargo run -q -p ironclaw_reborn_cli --features webui-v2-beta --bin ironclaw-reborn -- serve

`env_token_var` et `env_user_id_var` sont des noms de variables d'environnement. Conservez le jeton et l'identifiant utilisateur réels dans l'environnement.

Variables d'environnement requises pour WebUI :

| Variable | Utilité |
| --- | --- |
| `IRONCLAW_REBORN_WEBUI_TOKEN` | Jeton Bearer pour les requêtes WebUI. Si SSO est activé, cela signe également les sessions et doit faire au moins 32 octets. |
| `IRONCLAW_REBORN_WEBUI_USER_ID` | Identifiant propriétaire/utilisateur Reborn pour les requêtes env-bearer. Si `[identity].default_owner` est configuré, il doit correspondre à cette valeur. |

Variables d'environnement OAuth WebUI optionnelles :

| Variable | Utilité |
| --- | --- |
| `IRONCLAW_REBORN_WEBUI_BASE_URL` | URL de base publique utilisée pour la connexion WebUI et les rappels OAuth product-auth. Les déploiements non-loopback doivent utiliser `https://`. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_ID` | Active Google SSO lorsqu'elle est définie. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_SECRET` | Requis lorsque Google SSO est activé. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_ALLOWED_HD` | Restriction optionnelle de domaine hébergé Google. |
| `IRONCLAW_REBORN_WEBUI_GITHUB_CLIENT_ID` | Active GitHub SSO lorsqu'elle est définie. |
| `IRONCLAW_REBORN_WEBUI_GITHUB_CLIENT_SECRET` | Requis lorsque GitHub SSO est activé. |
| `IRONCLAW_REBORN_WEBUI_ALLOWED_EMAIL_DOMAINS` | Requis lorsqu'un fournisseur SSO est activé. Domaines de messagerie vérifiés séparés par des virgules. |
| `IRONCLAW_REBORN_WEBUI_OAUTH_HTTP_TIMEOUT_SECS` | Remplacement optionnel du délai d'attente HTTP OAuth. |

Pour Google SSO, créez un client web OAuth Google et enregistrez l'URI de redirection Reborn WebUI comme suit :```text
{IRONCLAW_REBORN_WEBUI_BASE_URL}/auth/callback/google

Les flux de configuration OAuth de Notion MCP et d'autres authentifications de produits utilisent la même URL de base WebUI publique lors de l'enregistrement des URL de rappel du fournisseur. N'incluez pas de barre oblique finale dans `IRONCLAW_REBORN_WEBUI_BASE_URL` ; Reborn la supprime avant de construire les URL de rappel. Si l'URL de base est omise, Reborn utilise l'adresse réelle de l'écouteur, comme `http://127.0.0.1:3000`, qui est adaptée uniquement aux tests OAuth en boucle locale/locale. Les déploiements OAuth publics ou non en boucle locale doivent définir une URL de base `https://`.

Environnement de démarrage complet de Google SSO :```bash
export IRONCLAW_REBORN_HOME="/var/lib/ironclaw-reborn"
export IRONCLAW_REBORN_PROFILE=local-dev
export OPENAI_API_KEY="sk-..." # or the required env var for your configured provider
export IRONCLAW_REBORN_WEBUI_TOKEN="$(openssl rand -hex 32)"
export IRONCLAW_REBORN_WEBUI_USER_ID="reborn-cli"
export IRONCLAW_REBORN_WEBUI_BASE_URL="https://ironclaw.example.com"
export IRONCLAW_REBORN_WEBUI_ALLOWED_EMAIL_DOMAINS="example.com,team.example.com"
export IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_ID="..."
export IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_SECRET="..."

cargo run -q -p ironclaw_reborn_cli --features webui-v2-beta --bin ironclaw-reborn -- serve --host 0.0.0.0 --port 3000

Activez Slack en définissant `IRONCLAW_REBORN_SLACK_ENABLED=true`, ou en ajoutant une
section `[slack]` à `config.toml`:```toml
[slack]
enabled = true