Crunu vs. Doppler para los secretos del equipo

Doppler es un gestor de secretos que se ofrece como servicio en la nube, con una opción on-prem en su plan Enterprise. Guardas las variables por proyecto y por config, ejecutas tu aplicación con doppler run, y Doppler envía los valores a las plataformas en las que despliegas, desde AWS Secrets Manager hasta Vercel. Crunu cubre un terreno parecido con proyectos y entornos, pero parte de otra premisa: el servidor solo guarda datos cifrados y nunca tiene una clave capaz de descifrar tus valores.

Esa premisa tiene un coste. Enviar valores a otras plataformas y rotarlos automáticamente requiere un servicio que pueda trabajar con los propios valores. Doppler ofrece ambas cosas. Crunu no, por diseño. Esta página explica en qué gana cada enfoque.

A quién le conviene cada uno

Doppler conviene a los equipos que quieren que los secretos lleguen a muchas plataformas con poca configuración: almacenes de secretos en la nube, sistemas de CI, proveedores de alojamiento y Kubernetes. Conviene a los equipos que quieren rotación automática, solicitudes de cambio, SSO con SAML y compatibilidad con Windows, y que aceptan que los secretos se cifren en el lado del proveedor y no en sus propios dispositivos.

Crunu conviene a los equipos que quieren una bóveda cuyo servidor no pueda leer los valores, aunque se vulneren su base de datos o su alojamiento. Conviene a los equipos que entregan secretos a sus propias máquinas Linux y pipelines de CI, que quieren un registro preciso de lo que recibió una persona que se va y que quizá quieran alojar el servidor por su cuenta.

Comparativa punto por punto

En qué destaca Doppler

• Integraciones. Doppler enumera destinos de sincronización en AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway y más. Crunu no tiene sincronización integrada con ninguna nube ni plataforma de alojamiento.
• Automatización sobre los valores. Doppler rota secretos automáticamente en los planes de pago e incluye secretos dinámicos en Enterprise. Crunu solo rota sus propias claves de cifrado.
• Flujos de trabajo. Las solicitudes de cambio permiten a las personas proponer modificaciones en configs en las que no pueden escribir. El flujo de aprobación de Crunu cubre las solicitudes de acceso, no las modificaciones de valores.
• Identidad y plataformas. SSO con SAML en Team, SCIM en Enterprise y una CLI para Windows. Crunu no tiene SSO, ni SCIM, ni agente para Windows.
• Auditorías y certificaciones. Doppler afirma tener las certificaciones SOC 2 e ISO 27001, hace pruebas de penetración de caja blanca al menos una vez al año y tiene un programa público de recompensas por errores. Crunu está en acceso anticipado y no publica un informe SOC 2 ni una auditoría externa.

Qué hace Crunu de otra manera

El servidor es ciego. El diseño de Doppler mantiene las claves lejos de los sistemas expuestos a internet, pero su servicio sigue recibiendo los secretos y los cifra en su lado. En Crunu, los valores se cifran antes de salir de tu dispositivo y solo se descifran en dispositivos que tienen una clave del entorno. Una copia completa de la base de datos de Crunu no ayuda a nadie a adivinar contraseñas, porque la clave de la cuenta depende también de la Secret Key.

Doppler aplica la misma idea en un producto: Doppler Share cifra en el cliente, así que los datos sin cifrar nunca llegan a sus sistemas, salvo los secretos compartidos a través de su app de Slack. Crunu lo hace con todo, incluidos los enlaces de acceso para personas sin cuenta.

Las bajas dejan rastro. Crunu registra qué versiones de qué entornos recibió cada persona. Cuando alguien se va, el proceso de baja de miembros rota las claves de todos los entornos que podía leer y enumera los valores que reemitir en los proveedores.

Límites sin maquillar. El servidor sigue viendo metadatos como los nombres de los proyectos, las direcciones de correo y las marcas de tiempo. Las restricciones de red las aplica el servidor, no la criptografía. La página de limitaciones enumera el resto.

Cómo pasarse a Crunu

1. Crea una cuenta y guarda tu Emergency Kit.
2. Crea un proyecto por cada proyecto de Doppler y un entorno por cada config que uses.
3. En una máquina de confianza, escribe los valores de cada config en un archivo .env.
4. Arrastra los archivos a los entornos correspondientes y después borra las copias sin cifrar.
5. Sustituye doppler run por crunu run. Inscribe tus servidores como máquinas y da a los pipelines tokens de servicio con vinculación OIDC.
6. Las plataformas a las que sincronizaba Doppler necesitarán una receta en la CI o actualizaciones manuales, ya que Crunu no tiene sincronización integrada.