Crunu vs. Doppler für Team-Secrets

Doppler ist ein Secrets-Manager, der als Cloud-Dienst angeboten wird, mit einer On-prem-Option im Enterprise-Tarif. Sie verwalten Variablen pro Projekt und Config, starten Ihre App mit doppler run, und Doppler überträgt Werte in die Plattformen, auf die Sie deployen, von AWS Secrets Manager bis Vercel. Crunu deckt für Projekte und Umgebungen ein ähnliches Feld ab, beruht aber auf einer anderen Prämisse: Der Server speichert nur Chiffretext und hat nie einen Schlüssel, der Ihre Werte entschlüsseln könnte.

Diese Prämisse hat ihren Preis. Werte in andere Plattformen zu übertragen und sie automatisch zu rotieren, erfordert einen Dienst, der mit den Werten selbst arbeiten kann. Doppler bietet beides. Crunu nicht, und zwar bewusst. Diese Seite zeigt, wo welcher Ansatz vorne liegt.

Für wen sich was eignet

Doppler eignet sich für Teams, die Secrets mit wenig Einrichtung in viele Plattformen bringen wollen: Secret-Stores in der Cloud, CI-Systeme, Hosting-Anbieter und Kubernetes. Es passt zu Teams, die automatische Rotation, Change Requests, SAML-SSO und Windows-Unterstützung wollen und damit leben können, dass Secrets beim Anbieter verschlüsselt werden statt auf den eigenen Geräten.

Crunu eignet sich für Teams, die einen Tresor wollen, dessen Server Werte nicht lesen kann, selbst wenn seine Datenbank oder sein Hosting kompromittiert wird. Es passt zu Teams, die Secrets an eigene Linux-Maschinen und CI-Pipelines ausliefern, genau wissen wollen, was eine ausscheidende Person erhalten hat, und den Server vielleicht selbst hosten möchten.

Im direkten Vergleich

Wo Doppler stärker ist

• Integrationen. Doppler listet Sync-Ziele bei AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway und weiteren Plattformen auf. Crunu hat keine eingebaute Synchronisierung mit einer Cloud- oder Hosting-Plattform.
• Automatisierung für Werte. Doppler rotiert Secrets in den bezahlten Tarifen automatisch und nennt für Enterprise dynamische Secrets. Crunu rotiert nur seine eigenen Verschlüsselungsschlüssel.
• Workflow-Funktionen. Mit Change Requests können Personen Änderungen an Configs vorschlagen, in die sie nicht schreiben dürfen. Der Freigabeablauf von Crunu umfasst Zugriffsanfragen, nicht Änderungen an Werten.
• Identität und Plattformen. SAML-SSO in Team, SCIM in Enterprise und eine CLI für Windows. Crunu hat weder SSO noch SCIM noch einen Windows-Agenten.
• Nachweise. Doppler gibt an, nach SOC 2 und ISO 27001 zertifiziert zu sein, mindestens einmal im Jahr White-Box-Penetrationstests durchzuführen und ein öffentliches Bug-Bounty-Programm zu betreiben. Crunu ist im Early Access und veröffentlicht weder einen SOC-2-Bericht noch ein externes Audit.

Was Crunu anders macht

Der Server ist blind. Das Design von Doppler hält Schlüssel von Systemen fern, die aus dem Internet erreichbar sind, doch der Dienst erhält Secrets trotzdem und verschlüsselt sie auf seiner Seite. Bei Crunu werden Werte verschlüsselt, bevor sie Ihr Gerät verlassen, und nur auf Geräten entschlüsselt, die einen Umgebungsschlüssel besitzen. Eine vollständige Kopie der Datenbank von Crunu hilft niemandem beim Erraten von Passwörtern, weil der Kontoschlüssel zusätzlich vom Secret Key abhängt.

Doppler setzt dieselbe Idee in einem Produkt um: Doppler Share verschlüsselt auf dem Client, sodass Klartext nie seine Systeme erreicht, außer bei Secrets, die über die Slack-App geteilt werden. Crunu macht das für alles, einschließlich Freigabelinks für Personen ohne Konto.

Wer geht, hinterlässt eine Spur. Crunu hält fest, welche Versionen welcher Umgebungen jede Person erhalten hat. Verlässt jemand das Team, rotiert der Ablauf zum Entfernen von Mitgliedern die Schlüssel aller Umgebungen, die die Person lesen konnte, und listet die Werte auf, die bei Anbietern neu auszustellen sind.

Ehrliche Grenzen. Der Server sieht weiterhin Metadaten wie Projektnamen, E-Mail-Adressen und Zeitstempel. Netzwerkbeschränkungen setzt der Server durch, nicht die Kryptografie. Die Seite zu den Grenzen nennt den Rest.

Umstieg auf Crunu

1. Erstellen Sie ein Konto und sichern Sie Ihr Emergency Kit.
2. Legen Sie für jedes Doppler-Projekt ein Projekt an und für jede genutzte Config eine Umgebung.
3. Schreiben Sie auf einer vertrauenswürdigen Maschine die Werte jeder Config in eine .env-Datei.
4. Ziehen Sie die Dateien in die passenden Umgebungen und löschen Sie danach die Klartextkopien.
5. Ersetzen Sie doppler run durch crunu run. Registrieren Sie Ihre Server als Maschinen und geben Sie Pipelines Service-Tokens mit OIDC-Bindung.
6. Plattformen, in die Doppler synchronisiert hat, brauchen ein Rezept in CI oder eine manuelle Aktualisierung, da Crunu keine eingebaute Synchronisierung hat.