@@ -191,6 +191,8 @@ Free models at [Kilo](https://kilo.ai) (`api.kilo.ai/api/gateway`), no login. St
 
 **Upstream node failures**: Qoder sometimes wraps own node failures in a 400 (`[FAIL]node:…`) → model-scoped transient fault, only that model cools; exhausted candidates → 503 (`no_healthy_credential`).
 
+**Keepalive frames and queueing**: the upstream sends keepalive frames with `body:"null"` (outer status 200) mid-stream → skipped, never interrupting output; "queued" arrives as a 403 whose queue marker hides inside a **serialized string** → classified as QUEUE, waits the upstream's named seconds and reopens on the same credential instead of hard-disabling it.
+
 ### CodeArts (`codearts`)
 
 [Huawei Cloud CodeArts](https://codearts.huaweicloud.com), real account: *Log in to CodeArts*, authorize, then paste the **unreachable local URL** back; server exchanges it for STS credentials (AK/SK + security_token + refresh_token + DPoP key) and stores them encrypted.
@@ -362,6 +364,7 @@ The credentials page offers multi-select plus batch bar (probe / check-in / paus
 
 - **Endpoint**: `POST /api/credentials/batch`, body `{action: "probe"|"toggle"|"checkin"|"revive", ids: [...], enabled?}`. Up to 200 ids, duplicates deduped.
 - **Per-item isolation**: one failure never blocks the rest. Response `{action, total, succeeded, failed, results: [{id, ok, error?, detail?}]}`.
+- **A failed check-in is a result, not a failure**: an upstream refusal (account disabled / session expired / rate limited) returns `ok=false` with a readable `message`, never 500 — otherwise the console only says "check-in failed" and hides the real reason.
 - **Pause is explicit state, not toggle-flip**: `enabled` comes from body → bar has separate *Pause* / *Unpause* buttons.
 - **Revive ≠ unpause**: revive clears system hard-disable (needs re-login first); unpause sets `toggle enabled=true`.
 - Only actions with existing single-item endpoints: `refresh` and `delete` are excluded.
@@ -602,7 +605,7 @@ Full list in `src/config.py` (authoritative); every item wired through `docker-c
 
 | Variable | Default | Notes |
 |---|---|---|
-| `APP_SECRET` | **required** | Credential encryption key, ≥16 chars; losing it voids every credential. Low-entropy values rejected |
+| `APP_SECRET` | **required** | Credential encryption key, ≥16 chars; losing it voids every credential. Low-entropy values rejected. **After rotating it, old credentials no longer decrypt**: a single probe returns an actionable error code, while chat and background tasks just skip that one bad credential and carry on |
 | `ADMIN_USERNAMES` | empty | Bootstrap only (no active admin in the DB yet): promoted to `admin` on first start |
 | `USERS_FILE` | `secrets/users.txt` | Bootstrap only: legacy user file imported once |
 | `PUBLIC_BASE_URL` | `http://127.0.0.1:8000` | Browser-reachable address; TRAE login callback; HSTS when https. Does not decide the session cookie `Secure` flag |
 
@@ -193,6 +193,8 @@ curl http://127.0.0.1:8000/v1/chat/completions \
 
 **上游节点故障**：Qoder 有时把自身节点故障包成 400（`[FAIL]node:…`）→ 判模型级瞬时故障，只冷却该模型。候选耗尽 → 503（`no_healthy_credential`）。
 
+**保活帧与排队**：上游在流中发 `body:"null"` 的保活帧（外层 200）→ 跳过、不打断输出；「排队中」包成 403 且排队标记藏在**序列化字符串**里 → 归 QUEUE 等上游点名的秒数后在原号重开，不硬禁用凭证。
+
 ### CodeArts（`codearts`）
 
 [华为云 CodeArts](https://codearts.huaweicloud.com)，需真实账号：点「登录 CodeArts」→ 授权后浏览器跳到打不开的本地地址 → **整条链接**粘回页面换 STS 凭证（AK/SK + security_token + refresh_token + DPoP 私钥），加密入库。
@@ -364,6 +366,7 @@ claude
 
 - **端点**：`POST /api/credentials/batch`，body `{action: "probe"|"toggle"|"checkin"|"revive", ids: [...], enabled?}`。一次 ≤200 条，重复 id 去重。
 - **逐条隔离**：单条失败不影响其余。响应 `{action, total, succeeded, failed, results: [{id, ok, error?, detail?}]}`。
+- **签到失败是结果不是故障**：上游拒绝（账号被禁用 / 登录过期 / 限流）回 `ok=false` + 可读 `message`，不 500——否则管理台只弹「签到失败」，看不出真实原因。
 - **暂停是显式状态而非取反**：`toggle` 的 `enabled` 由请求体给出 → 操作条拆「暂停」/「取消暂停」两按钮。
 - **「恢复」≠「取消暂停」**：前者 `revive`（解系统硬禁用，需先重新登录）；后者 `toggle enabled=true`。
 - 只收已有单条端点的动作：`refresh` / `delete` 不走此通道。
@@ -604,7 +607,7 @@ python3 scripts/restore_db.py data/backups/coding2api-20261014-030000.sqlite3 --
 
 | 变量 | 默认 | 说明 |
 |---|---|---|
-| `APP_SECRET` | **必填** | 凭证加密密钥，≥16 字符；丢失 = 凭证全废。拒低熵值 |
+| `APP_SECRET` | **必填** | 凭证加密密钥，≥16 字符；丢失 = 凭证全废。拒低熵值。**换密钥后旧凭证解不开**：单条探测会回可行动的错误码，而对话 / 后台任务只跳过那条坏凭证，其余照常 |
 | `ADMIN_USERNAMES` | 空 | 仅引导期（库里还没有活跃 admin）：逗号分隔，首次启动提权 `admin` |
 | `USERS_FILE` | `secrets/users.txt` | 仅引导期：老式用户文件，启动导入一次 |
 | `PUBLIC_BASE_URL` | `http://127.0.0.1:8000` | 浏览器可达地址；TRAE 登录回调用；https 下发 HSTS。不决定会话 Cookie 的 `Secure`。配回环 / `0.0.0.0` → 回调基址取当前请求 origin（见「部署注意」） |
 
@@ -115,6 +115,8 @@ MODEL_SCOPED_KINDS = frozenset({MODEL, BLOCKED, CONCURRENCY})
 
 识别 `provider.base.parse_queue_hint`（信封可嵌套，最多下钻 3 层）：`isQueued: true` / `subCode ∈ {RESOURCE_LIMIT, RESOURCE_LIMIT_EXCEEDED}` 任一成立即认定。**宁可漏判不可误判**：识别不出走原分类，绝不把普通失败当排队无限等。Qoder `_decode_frame` 须**先于** `classify_error_code` 拦下——上游把排队包成 403，按状态码分类判 DEAD 硬禁用凭证。`Event.retry_after_seconds` 承载上游点名秒数。
 
+**排队标记可能藏在**序列化字符串**里**：上游常把内层报文再 `json.dumps` 一次（Qoder 排队报文串两层：`{"code":"403","message":"{\"code\":\"10605\",\"message\":\"{…isQueued…}\"}"}`）。只认 dict/list 会漏判 → 403 落 DEAD → **可自愈的凭证被硬禁用**。故 `parse_queue_hint` 下钻字符串；串里套串**不额外消耗深度预算**（深度只按 dict/list 的协议层级计，秒数常在最内层）。判据同时放进 `classify_error_code`（而非只在调用点），保证任何入口都不漏判。
+
 | 上游信号 | CB | TRAE | Kilo | ErrKind |
 |---|---|---|---|---|
 | 权益耗尽 | `code=1005` | `code:1005` | — | PLAN |
@@ -349,6 +351,7 @@ class Provider(Protocol):
 - 签名 `md5(payload_b64 + "\n" + cosy_key + "\n" + date + "\n" + body + "\n" + path)`（`path` 去 `/algo`，query 不参与）。`payload` = 键排序紧凑 JSON `{cosyVersion,ideVersion,info,requestId,version}`；`cosy_key` = 临时 AES 密钥经服务端 RSA 公钥加密；`info` = AES-128-CBC 加密的身份 JSON。复用 `cryptography`。
 - `cosy-machineid`/`cosy-machinetoken` 按 `uid` 稳定派生（随机机器码触发风控）。
 - **信封式 SSE**：`data:{"headers":…,"body":"<内层 OpenAI chunk>","statusCodeValue":200}`。逐帧解 `body`；`body=="[DONE]"` 结束；`statusCodeValue != 200` 判上游错误（HTTP 仍可能 200）。`clean_delta` 剔除空噪声 delta。
+- **保活帧 `body:"null"` 必须跳过**：上游在流中发 `{"headers":…,"body":"null","statusCodeValue":200,"statusCode":"OK"}` 保活（实测 2026-10-26）。它不含内容，早先当「内层不是对象」→ 抛 `UpstreamProtocolViolation` → 整条流判失败（16:29-16:53 连续 13 次「流式响应失败: Qoder inner chunk is not an object」），而模型其实已在正常输出——客户端只看到回复被截断。判据用**结构**（`json.loads` 后是 `None` / 空 dict / 空 list）而非字符串前缀，见 `events.is_keepalive_body`。
 - **模型发现** `GET {gateway}/algo/api/v2/model/list?Encode=1`，**须带整套 COSY 头**（签名 body = `qoder_encode("")`）；裸 GET 403，方法固定 GET（POST/PUT 400）。`id` 用 `key`（如 `qmodel_38max`）、`name` 用 `display_name`。`price_factor` = credit 消耗倍率（相对值，免费给 `0.0`）。
 - **签到（活动制）**：`GET /sash/api/v1/me/campaigns`（**须带 `Cosy-ClientType: 10`**，否则静默空列表）→ 筛 `actionType=="CLAIM_BENEFIT"` 且 `claimStatus=="CLAIMABLE"` → `POST .../{campaignId}/claim`（同样带头）。`replayed:true` 与 `BLOCKED`+`SAME_PERSON_ALREADY_CLAIMED` 归一为已签；其它 `BLOCKED` 才是失败。新协议无连续天数（`streak_days` 恒 None）。仅活动制接口 404/405/410 时回退旧 `daily-check-in`；两者都不可用记 skipped（`ok=False` 但不算失败）。**国际版该端点 404**。
 - **签到窗口 ≠ 自然日**：上游每日 **10:00（UTC+8）** 轮换 `campaignId`，窗口 `10:00 → 次日 09:59`。按自然日封账会在凌晨封掉整天 → `CheckinResult.seal_until` 回填 `checkin_window_end(payload)`（签到类活动里**最晚**的 `endAt`，不采信 `VIEW_DETAILS`）。`CheckinTask._done_scopes` = `dict[done_key → 截止时刻]`，判据 `_sealed()`（`until > now`）。
@@ -543,6 +546,7 @@ PRAGMA foreign_keys = ON;      -- 仅 api_keys 之外无外键（users 与 api_k
 
 - 连接：`threading.local()` 每线程一个 `sqlite3.Connection(row_factory=sqlite3.Row)`。写入统一走 `Database.transaction()`，无应用层写锁，并发由 SQLite 串行化。
 - 加密：`Fernet(base64.urlsafe_b64encode(sha256(APP_SECRET).digest()))`；APP_SECRET 丢失 = 凭证全部不可解。启动按熵拒弱密钥（长度 ≥16、不同字符数 ≥8，拒重复字符 / 短周期重复串）。
+- **解密失败按「这条凭证用不了」处理，不得连累整批**：早先 `credential_data` 抛 `CredentialDecryptError` 直达顶层 → 一条坏凭证就让整个聊天请求 500、整轮后台任务（额度探测 / 预刷新 / 签到 / 成长中心 / 活跃上报 / 模型探活）挂掉、整页模型列表 500（实测 2026-10-26 14:48）。现按路径分两种口径：**批处理路径**（选号、模型列表、后台任务、即时探测）捕获后**跳过该凭证**（记 skipped + 一条 ERROR 日志），其余照常；**单条探测端点**照旧如实报可行动的 500（`credential_decrypt_failed`，管理员该去处理这个号）。
 - `runtime_settings(key, value, updated_at)`：纯 key/value，只存管理台改过的 key，未出现回落 env；值由 `HOT_SETTINGS` 白名单校验，非法行读取时忽略并记日志。
 - 模型列表与目录不占表：进程内 TTL 缓存 + `DATA_DIR/model_catalog.json` / `openrouter_catalog.json`（§9.4）；签到去重由 `CheckinTask` 当日作用域集合实现。
 
 
@@ -179,8 +179,25 @@ async def probe_credential_once(credentials, provider, data, credential_id: str)
 
 async def checkin_credential_once(credentials, provider, data, credential_id: str,
                                   schedule_probe) -> dict:
-    """签到一条凭证，返回对外响应体（单条与批量共用）。"""
-    result = await provider.checkin(data)
+    """签到一条凭证，返回对外响应体（单条与批量共用）。
+
+    **上游失败是正常结果，不是异常**：账号被禁用 / 登录过期 / 限流都是上游
+    对这条凭证的真实答复，直接抛出去会变成 ASGI 500 + 一整屏 traceback
+    （实测 2026-10-26 14:47 管理台点「签到」回 500，前端只弹「签到失败」，
+    看不出是账号被禁用）。这里把异常收成 `ok=False` + 可读 message：
+    前端本来就按 `ok` / `message` 渲染（见 `CredentialsPage` 的 checkin 分支），
+    批量端点也不必再单独兜一次。
+    """
+    try:
+        result = await provider.checkin(data)
+    except Exception as error:  # noqa: BLE001 - 上游失败 → 失败结果，非 500
+        reason = describe_probe_failure(error)
+        logger.info("签到失败 %s: %s", credential_id, reason)
+        # detail 只进服务端日志：上游原文可能回显凭证片段
+        logger.info("签到失败详情 %s: %s", credential_id, str(error)[:200])
+        return {"ok": False, "credit": None, "code": None,
+                "message": f"签到失败：{reason}", "already_checked_in": False,
+                "status": None}
     if result.ok and not result.already_checked_in:
         schedule_probe(credential_id)      # 只有真签到了才会发积分
     # already_checked_in 必须透传：前端靠它区分「刚签到」与「今天已签过」
 
@@ -40,6 +40,7 @@
 
 from ..benchmarks import BenchmarkTable
 from ..compat.openai.errors import error_payload
+from ..db.crypto import CredentialDecryptError
 from ..engine.reasoning import parse_effort_map
 from ..model_alias import parse_model_aliases
 from ..pricing import PriceTable
@@ -229,10 +230,22 @@ async def _refresh_provider(services: Services, provider_id: str, provider: Any)
     # 用该上游的一个可用凭证拉取（凭证有归属，模型列表是账号级的）
     # selectable_only：硬禁用/用户关闭的凭证取不到数据，只会白失败
     candidates = services.credentials.candidates([provider_id], selectable_only=True)
-    credential_data = (
-        services.credentials.credential_data(candidates[0].credential_id)
-        if candidates else {}
-    )
+    try:
+        credential_data = (
+            services.credentials.credential_data(candidates[0].credential_id)
+            if candidates else {}
+        )
+    except CredentialDecryptError:
+        # 解不开（APP_SECRET 换过 / 密文损坏）→ 本上游暂时拉不了清单，但
+        # **不该让整页模型列表 500**（实测 2026-10-26 14:48：一条坏凭证
+        # 连累所有渠道）。按「本次拉取失败」处理：保留旧缓存、记负缓存
+        # （避免每次请求都重试同一个坏凭证），其余上游照常。
+        logger.error("模型列表获取失败 %s: 凭证解密失败（APP_SECRET 是否被更换过？）",
+                     provider_id)
+        services.model_list_failures[provider_id] = (
+            services.model_list_failures.get(provider_id, 0) + 1)
+        services.model_list_fetched_at[provider_id] = time.monotonic()
+        return
     try:
         models = await provider.list_models(credential_data)
     except Exception as error:  # noqa: BLE001 - 单上游失败不影响其他
 
@@ -623,6 +623,14 @@ def attention_counts(self) -> dict[str, int]:
         return {"disabled": int(row["disabled"]), "exhausted": int(row["exhausted"])}
 
     def credential_data(self, credential_id: str) -> dict[str, Any] | None:
+        """取凭证明文；不存在返回 None。
+
+        解密失败**照旧抛** `CredentialDecryptError`：它表示 APP_SECRET 换过
+        或密文损坏，是需要人处理的状态（见 `webapp.handlers` 的可行动 500
+        映射）。「一条坏凭证不该连累整个请求」由**调用方**处理：引擎选号
+        与模型列表会捕获它并跳过该凭证（见 `executor._safe_credential_data`
+        / `api.models`），而单条探测端点把它如实报给管理员。
+        """
         row = self._db.connect().execute(
             "SELECT data_enc FROM credentials WHERE id = ?", (credential_id,)).fetchone()
         if row is None:
 
@@ -20,6 +20,7 @@
     aggregate,
 )
 from ..config import live
+from ..db.crypto import CredentialDecryptError
 from ..db.repo import CredentialRepository
 from ..provider.base import (
     QUEUE_DEFAULT_WAIT_SECONDS,
@@ -612,7 +613,7 @@ def terminal(message: str, code: str) -> bytes:
                 # 会让三次排队就把整个请求打成 503。
                 credential_id, credential_data = pinned
                 pinned = None
-                if self._deps.credentials.credential_data(credential_id) is None:
+                if self._safe_credential_data(credential_id) is None:
                     continue
                 provider_id = self._deps.credentials.provider_of(credential_id)
                 state.provider, state.credential_id = provider_id or "-", credential_id
@@ -1005,7 +1006,7 @@ async def _complete_model(self, request: ChatRequest, target: ModelTarget,
             if pinned is not None:
                 credential_id, credential_data = pinned
                 pinned = None
-                if self._deps.credentials.credential_data(credential_id) is None:
+                if self._safe_credential_data(credential_id) is None:
                     continue
                 provider_id = self._deps.credentials.provider_of(credential_id)
                 last_provider, last_credential = provider_id or "-", credential_id
@@ -1256,10 +1257,33 @@ async def _pick(self, target: ModelTarget, tried: set[str],
                     return None
                 waited = True
                 continue
-            credential_data = self._deps.credentials.credential_data(credential_id)
+            credential_data = self._safe_credential_data(credential_id)
             if credential_data is not None:
                 return credential_id, credential_data
-            tried.add(credential_id)  # 并发删除：标记后重选
+            tried.add(credential_id)  # 并发删除 / 解不开：标记后重选
+
+    def _safe_credential_data(self, credential_id: str) -> dict[str, Any] | None:
+        """取凭证明文；**解不开**时跳过该凭证而不是让整个请求失败。
+
+        解密失败（APP_SECRET 换过 / 密文损坏）早先直接冒泡 → 一条坏凭证
+        就让**整个聊天请求**回 500（实测 2026-10-26 14:48：
+        `/v1/chat/completions` 500，栈顶「凭证解密失败：APP_SECRET 是否被
+        更换过？」），其余好凭证白白连坐。
+
+        这里吞掉它并返回 None（= 「这条凭证用不了」，与并发删除同义）→
+        选号继续找下一个号。单条探测端点仍把该错误如实报给管理员
+        （见 `webapp.handlers` 的可行动 500），两处口径不冲突：一个是
+        「这个号不能用，换一个」，一个是「请处理这个号」。
+
+        走 `credential_data`（而不是仓储的 `credential_data_or_skip`）：
+        测试替身只实现前者，后者是仓储层的具体能力。
+        """
+        try:
+            return self._deps.credentials.credential_data(credential_id)
+        except CredentialDecryptError:
+            logger.error("凭证解密失败（凭证 %s）：APP_SECRET 是否被更换过？"
+                         "该凭证已跳过，其余凭证不受影响", credential_id)
+            return None
 
     async def _wait_short_cooldown(self, target: ModelTarget,
                                    tried: set[str]) -> bool:
 
@@ -67,7 +67,7 @@
     validate_zen_endpoint_allowed,
 )
 from .db.conn import Database
-from .db.crypto import CredentialCipher
+from .db.crypto import CredentialCipher, CredentialDecryptError
 from .db.key_usage import KeyUsageRepository
 from .db.limits import LimitsRepository, day_usage
 from .db.migrate import apply_schema
@@ -744,7 +744,12 @@ def schedule_probe(credential_id: str) -> None:
         """
         provider_id = credentials.provider_of(credential_id)
         provider = registry.get(provider_id or "")
-        data = credentials.credential_data(credential_id)
+        # 解不开（APP_SECRET 换过 / 密文损坏）→ 跳过这条凭证，不让后台任务
+        # 因一条坏凭证整轮失败
+        try:
+            data = credentials.credential_data(credential_id)
+        except CredentialDecryptError:
+            return
         if provider is None or data is None:
             return