Early AccessTeams, Maschinen und CI
Secrets für Ihr Team, nicht für den Server.
Ein Tresor für die .env-Dateien, API-Schlüssel und Cloud-Zugangsdaten Ihres Teams. Werte werden auf Ihren Geräten verschlüsselt, und der Server speichert nur Chiffretext.
So funktioniert esEin Tresor für alle Umgebungen
Projekte enthalten Umgebungen, und jede Umgebung hat ihren eigenen Schlüssel. Menschen, Maschinen und CI-Pipelines erhalten nur die Umgebungen, die für sie freigegeben sind.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Registrieren Sie die Maschine mit einem Einmalcode. Er verfällt beim ersten Einsatz, ein zweiter Versuch löst eine Warnung aus.
- Geben Sie die Maschine frei, nachdem Sie den Fingerabdruck abgeglichen haben, den
crunu enrollausgibt. - Der Agent hält entschlüsselte Umgebungen im Arbeitsspeicher und übergibt sie an Ihren Prozess.
In drei Schritten eingerichtet
Starten Sie auf app.crunu.com mit den .env-Dateien, die Ihr Team schon hat. Menschen brauchen nur einen Browser, der Agent ist für Maschinen und CI da.
1Tresor anlegen
Legen Sie ein Projekt an und ziehen Sie Ihre .env-Dateien hinein, auch ganze Ordner wie .aws. Crunu liest die Variablen und schlägt vor, wo jede Datei auf dem Rechner liegt.
2Team einladen
Senden Sie einen Einladungslink und vergleichen Sie mit jedem neuen Mitglied den Fingerabdruck des Schlüssels, bevor Sie Zugriff gewähren. Rollen gelten pro Umgebung.
3Mit crunu run starten
Registrieren Sie eine Maschine mit einem Einmalcode, geben Sie sie nach dem Abgleich des Fingerabdrucks frei und starten Sie Ihre App mit crunu run.
Menschen, Maschinen und CI – eine Quelle
Ihr Team öffnet Umgebungen im Browser. Maschinen und CI-Jobs erhalten sie über den Crunu-Agenten. Beide entschlüsseln denselben Chiffretext mit derselben Kryptografie, also reicht niemand mehr .env-Dateien herum.
Jede Maschine hat eigene Schlüssel
Der Schlüssel einer Maschine öffnet auf keiner anderen etwas. Widerrufen Sie eine Maschine, werden die Umgebungsschlüssel rotiert, die sie hatte.
CI an ein Repository gebunden
Binden Sie ein Service-Token per OIDC an ein Repository und einen Branch. Gelangt das Token allein nach außen, wird es abgewiesen.
Läuft auch bei einem Ausfall
Fällt das Netzwerk aus, liefert der Agent den zuletzt verifizierten Stand, bis seine Lease-Zeit abläuft, standardmäßig nach 24 Stunden.
Jemand geht. Jeder Schlüssel dieser Person wird ersetzt.
Ein Mitglied zu entfernen ist ein einziger geführter Ablauf. Sobald die Person entfernt ist, liefert der Server ihr nichts mehr aus.
Sehen, was die Person erhalten hat
Der Offenlegungsbericht listet auf, welche Versionen welcher Umgebungen die Person abgerufen hat, wann und von welcher Adresse.
Ihre Schlüssel rotieren
Crunu ersetzt den Schlüssel jeder Umgebung, die die Person hatte, und widerruft, was sie noch nutzen könnte: Service-Tokens, Freigabelinks, Einladungen und Registrierungscodes.
Beim Anbieter neu ausstellen
Eine Checkliste nennt jeden Wert, der bei seinem Anbieter ersetzt werden muss, ohne die Werte selbst anzuzeigen.
Gesehenes bleibt gesehen
Die Rotation schützt jede neue Version. Werte, die die Person schon gesehen hat, bleiben gültig, bis Sie sie neu ausstellen. Genau dafür ist die Checkliste da.
Was auch bei kompromittiertem Server gilt
Jede Aussage nennt den Mechanismus dahinter und hängt deshalb nicht davon ab, wem Sie beim Betrieb des Servers vertrauen.
Eine gestohlene Datenbank verrät keine Werte
Ihr Kontoschlüssel entsteht aus Ihrem Passwort und einem Secret Key, der den Server nie erreicht. Eine vollständige Kopie der Datenbank nützt deshalb nichts, um Passwörter zu erraten.
Der Server kann sich nicht selbst Zugriff geben
Wer eine Umgebung lesen darf, steht in einem Dokument, das ein Admin signiert hat, und jede Version ist von ihrem Autor signiert. Browser und Agenten prüfen beides.
Änderungen am Audit-Log fallen auf
Die Einträge bilden eine Hash-Kette, deshalb lässt jede Änderung, Löschung oder Einfügung die Prüfung scheitern. Exportieren Sie das Log als JSONL, um es außerhalb von Crunu zu prüfen.
Kostenlos im Early Access
Solange Crunu im Early Access ist, sind alle Funktionen enthalten. Das sind die aktuellen Limits.
Größe einer Umgebung
Alle Dateien einer Umgebung zusammen.
1 MB
pro Umgebung
1.048.576 Byte- .env, INI und flaches YAML feldweise
- Jede andere Textdatei als Ganzes
Versionsverlauf
Jedes Speichern erzeugt eine neue Version.
100Versionen
pro Umgebung
bis 64 MB Verlauf- Autor und Zeitpunkt jeder Version
- Alte Version als neue wiederherstellen
Early AccessJetzt
Alle Funktionen, in unserer Cloud auf app.crunu.com.
Kostenlos
Nichts zu bezahlen
Kostenlos registrieren- Browser-App und Crunu-Agent
- Maschinen und Service-Tokens für CI
- Zugriffsanfragen und Offboarding
- Audit-Log und Warnungen
Projekte
Jedes Projekt enthält seine Umgebungen.
500Projekte
pro Organisation
je bis zu 50 Umgebungen- Jede Umgebung hat einen eigenen Schlüssel
- Und eine eigene Zugriffsliste
Zugriffsliste
Wer eine Umgebung lesen darf.
5.000Einträge
pro Umgebung
Mensch, Maschine, Token- Editor, Reader, Specific files
- Operator für Maschinen
Bevor Sie Ihre Secrets umziehen
Was Teams meist prüfen, bevor sie ihre .env-Dateien umziehen.
Noch etwas anderes? Schreiben Sie an support@crunu.com
Was kann der Server sehen?
Einen verschlüsselten Datensatz pro Version jeder Umgebung, dazu öffentliche Schlüssel und signierte Dokumente. Außerdem sieht er Metadaten: die Namen von Organisationen, Projekten, Umgebungen und Maschinen, die E-Mail-Adressen der Mitglieder, das Audit-Log sowie Größe und Zeitpunkt jeder Version. Namen und Werte der Variablen gibt es nur im Chiffretext, und Ihr Passwort und Ihr Secret Key werden überhaupt nie übertragen.
Was, wenn ich mein Passwort vergesse oder meinen Secret Key verliere?
Ein Zurücksetzen des Passworts gibt es nicht, weil der Server es nicht durchführen kann. Ihr Wiederherstellungscode öffnet das Konto nach einer Wartezeit, standardmäßig nach einer Stunde. Wer das Konto besitzt, wird benachrichtigt, und eine normale Anmeldung bricht den Versuch ab. Ein Admin kann Ihre persönlichen Umgebungen außerdem in ein neues Konto übertragen. Bewahren Sie das Emergency Kit, das Sie bei der Registrierung ausdrucken, an einem sicheren Ort auf.
Was kostet Crunu?
Im Early Access ist Crunu kostenlos, mit allen Funktionen. Aktuelle Limits: 1 MB pro Umgebung, die letzten 100 Versionen im Verlauf bis 64 MB, 500 Projekte pro Organisation, 50 Umgebungen pro Projekt und 5.000 Einträge in der Zugriffsliste einer Umgebung.
Kann ich den Server selbst betreiben?
Ja. Er läuft in Docker auf einer eigenen Maschine, auf Cloudflare Workers, Vercel, Google Cloud Run oder AWS App Runner, wobei AWS App Runner für Neukunden geschlossen hat. Ein selbst gehosteter Server zieht mit einem einzigen Archiv, das keine Klartextwerte enthält, zwischen Plattformen um. Auf Cloudflare braucht ein Team den Tarif Workers Paid.
Mit welchen CI-Systemen funktioniert Crunu?
Mit GitHub Actions, GitLab CI und Bitbucket Pipelines, mit OIDC-Bindung an Repository, Branch und Deployment-Umgebung. Jeder andere OIDC-Aussteller funktioniert über einen generischen Provider. Ein CI-System ohne OIDC kann ein Service-Token, das in seinen Secrets hinterlegt ist, zusammen mit crunu run verwenden.
Welche Betriebssysteme unterstützt der Agent?
Linux und macOS, jeweils auf amd64 und arm64. Unter Linux kann der Agent als systemd-Dienst laufen, der Umgebungen im Arbeitsspeicher hält. Unter macOS arbeitet er über die Kommandozeile, für Menschen und Service-Tokens. Windows wird nicht unterstützt. Die Web-App braucht Chrome 113, Safari 17, Firefox 129 oder neuer.
Kann ich Secrets aus einem anderen Tool übernehmen?
Ziehen Sie .env-Dateien, INI-Dateien wie ~/.aws/credentials, flaches YAML oder beliebige Textdateien hinein, auch ganze Ordner wie .aws, bis zu 300 Dateien auf einmal. Crunu liest die Variablen und schlägt vor, wo jede Datei auf dem Rechner liegt. Einen direkten Import aus 1Password, HashiCorp Vault, Doppler oder Infisical gibt es nicht.
Wirkt der Widerruf einer Maschine sofort?
Der Server liefert ihr sofort nichts mehr aus, und die Schlüssel der Umgebungen, die sie hatte, werden rotiert. Solange die Maschine online ist, löscht der Agent seine Kopie innerhalb von Minuten, denn er meldet sich standardmäßig jede Minute beim Server. Eine Maschine ohne Verbindung stoppt, wenn ihre Lease-Zeit abläuft, standardmäßig nach 24 Stunden. Ein bereits laufender Prozess behält seine Variablen bis zum Neustart.
Holen Sie Ihre .env-Dateien aus dem Chat
Erstellen Sie Ihr Konto auf app.crunu.com: E-Mail-Adresse bestätigen, Passwort festlegen und das Emergency Kit mit Ihrem Secret Key sichern.