Acceso anticipadoEquipos, máquinas y CI
Comparte secretos con tu equipo, no con el servidor.
Una sola bóveda para los archivos .env, las claves de API y las credenciales de la nube de tu equipo. Los valores se cifran en tus dispositivos y el servidor solo guarda datos cifrados.
Mira cómo funcionaUna bóveda para todos tus entornos
Los proyectos contienen entornos, y cada entorno tiene su propia clave. Las personas, las máquinas y los pipelines de CI reciben solo los entornos que se les conceden.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Inscríbela con un código de un solo uso. Se consume en el primer uso; un segundo intento genera una alerta.
- Aprueba la máquina después de comparar la huella que muestra
crunu enroll. - El agente mantiene en memoria los entornos descifrados y se los entrega a tu proceso.
Configúralo en tres pasos
Empieza en app.crunu.com con los archivos .env que tu equipo ya tiene. A las personas les basta un navegador; el agente es para las máquinas y la CI.
1Crea una bóveda
Crea un proyecto y arrastra tus archivos .env, o carpetas enteras como .aws. Crunu lee las variables y sugiere dónde va cada archivo.
2Invita a tu equipo
Envía un enlace de invitación y compara la huella de la clave con cada miembro nuevo antes de darle acceso. Los roles se asignan por entorno.
3Ejecuta con crunu run
Inscribe una máquina con un código de un solo uso, apruébala después de comprobar la huella e inicia tu aplicación con crunu run.
Personas, máquinas y CI: una sola fuente
Tu equipo abre los entornos en el navegador. Las máquinas y los trabajos de CI los reciben a través del agente de Crunu. Ambos descifran los mismos datos cifrados con la misma criptografía, así que nadie se pasa archivos .env de mano en mano.
Cada máquina tiene sus propias claves
Una clave de una máquina no abre nada en otra. Si revocas una máquina, se rotan las claves de los entornos que tenía.
CI vinculada a un repositorio
Vincula un token de servicio a un repositorio y una rama con OIDC. Un token filtrado, por sí solo, se rechaza.
Funciona aunque caiga la red
Si se cae la red, el agente sigue entregando el último estado verificado hasta que vence su concesión, 24 horas por defecto.
Alguien se va. Cada clave que tenía se sustituye.
Dar de baja a un miembro es un único proceso guiado. El servidor deja de entregarle datos en el momento en que se le da de baja.
Mira qué recibió
El informe de exposición indica qué versiones de qué entornos obtuvo la persona, cuándo y desde qué dirección.
Rota sus claves
Crunu sustituye la clave de cada entorno al que tenía acceso y revoca lo que aún podría usar: tokens de servicio, enlaces de acceso, invitaciones y códigos de inscripción.
Reemite en el proveedor
Una lista indica cada valor que hay que sustituir en su proveedor, sin mostrar los valores.
Lo que ya vio no se olvida
La rotación protege cada versión nueva. Los valores que ya vio siguen siendo válidos hasta que los reemitas, y para eso está la lista.
Lo que se mantiene aunque el servidor esté comprometido
Cada afirmación nombra el mecanismo que la sostiene, así que no depende de confiar en quien administra el servidor.
Una base de datos robada no revela valores
La clave de tu cuenta se obtiene de tu contraseña y de una Secret Key que nunca llega al servidor, así que una copia completa de la base de datos no sirve para adivinar contraseñas.
El servidor no puede darse acceso a sí mismo
Quién puede leer un entorno lo dice un documento firmado por un administrador, y cada versión la firma su autor. Los navegadores y los agentes comprueban ambas firmas.
Los cambios en el registro de auditoría se notan
Las entradas forman una cadena de hashes, así que una modificación, un borrado o una inserción rompen la verificación. Exporta el registro en JSONL para comprobarlo fuera de Crunu.
Gratis durante el acceso anticipado
Todas las funciones están incluidas mientras Crunu esté en acceso anticipado. Estos son los límites actuales.
Tamaño del entorno
Todos los archivos de un entorno juntos.
1 MB
por entorno
1 048 576 bytes- .env, INI y YAML plano, campo a campo
- Cualquier otro archivo de texto, entero
Historial de versiones
Cada vez que guardas se crea una versión.
100versiones
por entorno
hasta 64 MB de historial- Autor y hora en cada versión
- Restaura una versión antigua como nueva
Acceso anticipadoAhora
Todas las funciones, en nuestra nube en app.crunu.com.
Gratis
Nada que pagar
Crear cuenta gratis- App web y agente de Crunu
- Máquinas y tokens de servicio de CI
- Solicitudes de acceso y salidas del equipo
- Registro de auditoría y alertas
Proyectos
Cada proyecto contiene sus entornos.
500proyectos
por organización
hasta 50 entornos cada uno- Cada entorno tiene su propia clave
- Y su propia lista de acceso
Lista de acceso
Quién puede leer un entorno.
5000entradas
por entorno
personas, máquinas, tokens- Editor, Reader, Specific files
- Operator para máquinas
Antes de mudar tus secretos
Lo que los equipos suelen comprobar antes de mudar sus archivos .env.
¿Algo más? Escríbenos a support@crunu.com
¿Qué puede ver el servidor?
Un registro cifrado por cada versión de cada entorno, además de claves públicas y documentos firmados. También ve metadatos: los nombres de organizaciones, proyectos, entornos y máquinas, los correos de los miembros, el registro de auditoría y el tamaño y la hora de cada versión. Los nombres y los valores de las variables solo existen dentro de los datos cifrados, y tu contraseña y tu Secret Key no se envían nunca.
¿Y si olvido mi contraseña o pierdo mi Secret Key?
No hay restablecimiento de contraseña, porque el servidor no puede hacerlo. Tu código de recuperación abre la cuenta tras un periodo de espera, una hora por defecto; el titular de la cuenta recibe un aviso, y un inicio de sesión normal cancela el intento. Un administrador también puede trasladar tus entornos personales a una cuenta nueva. Guarda en un lugar seguro el Emergency Kit que imprimes al registrarte.
¿Cuánto cuesta Crunu?
Crunu es gratis durante el acceso anticipado, con todas las funciones incluidas. Límites actuales: 1 MB por entorno, las últimas 100 versiones de historial hasta 64 MB, 500 proyectos por organización, 50 entornos por proyecto y 5000 entradas en la lista de acceso de un entorno.
¿Puedo alojar el servidor por mi cuenta?
Sí. Funciona en Docker en una máquina propia, en Cloudflare Workers, Vercel, Google Cloud Run o AWS App Runner, aunque AWS ha cerrado App Runner a nuevos clientes. Un servidor autoalojado se traslada de una plataforma a otra con un único archivo que no contiene valores sin cifrar. En Cloudflare, un equipo necesita el plan Workers Paid.
¿Con qué sistemas de CI funciona?
Con GitHub Actions, GitLab CI y Bitbucket Pipelines, con vinculación OIDC al repositorio, la rama y el entorno de despliegue. Cualquier otro emisor OIDC funciona a través de un proveedor genérico. Un sistema de CI sin OIDC puede usar un token de servicio guardado en sus secretos junto con crunu run.
¿Qué sistemas operativos admite el agente?
Linux y macOS, en amd64 y arm64. En Linux, el agente puede ejecutarse como servicio de systemd que mantiene los entornos en memoria. En macOS funciona desde la línea de comandos, para personas y tokens de servicio. Windows no es compatible. La app web necesita Chrome 113, Safari 17, Firefox 129 o versiones posteriores.
¿Puedo traer secretos de otra herramienta?
Arrastra archivos .env, archivos INI como ~/.aws/credentials, YAML plano o cualquier archivo de texto, incluidas carpetas enteras como .aws, hasta 300 archivos a la vez. Crunu lee las variables y sugiere dónde va cada archivo en el disco. No hay importación directa desde 1Password, HashiCorp Vault, Doppler ni Infisical.
¿Revocar una máquina surte efecto de inmediato?
El servidor deja de entregarle datos al instante, y se rotan las claves de los entornos que tenía. El agente borra su copia en cuestión de minutos mientras la máquina está en línea, ya que consulta al servidor cada minuto por defecto. Una máquina sin conexión se detiene cuando vence su concesión, 24 horas por defecto. Un proceso que ya está en marcha conserva sus variables hasta que se reinicia.
Saca tus archivos .env del chat
Crea tu cuenta en app.crunu.com: confirma tu correo, elige una contraseña y guarda el Emergency Kit con tu Secret Key.