Crunu vs. pasar archivos .env por chat y notas

La mayoría de los equipos empieza igual. Alguien necesita la URL de la base de datos de staging, así que un compañero pega el archivo .env en un mensaje directo. Alguien recién incorporado recibe una nota con las claves de AWS. Un colaborador externo recibe la clave de Stripe en un chat de grupo. Funciona, no cuesta nada y nadie tiene que aprender una herramienta nueva.

El problema aparece después. Los mismos valores viven ahora en el historial del chat, en la búsqueda, en las exportaciones y en las notas de quien los copió. Cuando alguien se va, nadie sabe decir quién vio qué clave, y la única respuesta segura es reemitirlo todo. Esta página compara ese hábito con Crunu con honestidad, incluidos los casos en los que el hábito es suficiente.

A quién le conviene cada enfoque

El chat y las notas convienen a un desarrollador en solitario o a dos personas con un prototipo sin datos de producción, solo con claves de prueba y nada que perder si se filtra un valor. También sirven para una entrega puntual en la que el valor se reemitirá justo después.

Crunu conviene a cualquier equipo en el que existan claves de producción, haya personas que entran y salen, las máquinas y la CI necesiten los mismos valores y alguien vaya a preguntar algún día quién tenía acceso a qué.

Comparativa punto por punto

En qué destacan el chat y las notas

• Sin configuración. Tu equipo ya usa la app de chat. Crunu necesita una cuenta y no tiene apps móviles.
• Nada más que guardar a buen recaudo. Crunu añade una Secret Key y un Emergency Kit a tu contraseña, y su servidor no puede restablecer tu contraseña. Sin la contraseña, la Secret Key y el código de recuperación, nadie puede abrir la cuenta, tampoco Crunu.
• Rapidez para algo puntual. Para una clave de prueba que vas a tirar mañana, un mensaje directo es más rápido que cualquier bóveda.

Por qué cuesta deshacer el hábito

Las copias se multiplican. Un archivo pegado acaba en el historial de mensajes y en la búsqueda, y los chats en la nube de Telegram se pueden leer desde cualquiera de tus dispositivos. En los planes de pago de Slack, los mensajes y archivos se conservan durante toda la vida del espacio de trabajo, salvo que un propietario defina una política de retención. Una nota sincronizada con la nube es una copia más en un servicio más.

Las exportaciones llegan más lejos que el chat. Los propietarios y administradores de un espacio de trabajo de Slack pueden exportar los mensajes de los canales públicos. En los planes Business+ y Enterprise, las exportaciones de canales privados y mensajes directos están disponibles previa solicitud.

El cifrado protege el transporte, no el hábito. Slack cifra los datos en tránsito y en reposo, y su complemento Enterprise Key Management permite a los clientes de Enterprise usar sus propias claves. Los chats en la nube de Telegram se guardan cifrados en su nube; solo los chats secretos son de extremo a extremo y están ligados a un dispositivo. Nada de esto limita quién, dentro de la conversación, puede leer y copiar el valor.

Irse no tiene una respuesta limpia. Las recomendaciones de OWASP dicen que las claves expuestas deben revocarse de inmediato y que los secretos nunca deben estar al alcance de todo el mundo. Cuando se va un compañero que estaba en el chat, lo prudente es dar por expuestas todas las claves que hay en él.

Cómo resuelve Crunu esos mismos momentos

• Alguien nuevo en el equipo. Envíale una invitación y asígnale un perfil de acceso, por ejemplo Editor en development y staging sin production.
• Colaborador externo sin cuenta. Envía un enlace de acceso a archivos seleccionados con caducidad, límite de visualizaciones o contraseña. La clave de descifrado va en el enlace, después de #, y nunca se envía al servidor. La vista previa de un mensajero no consume el enlace; solo se abre cuando alguien pulsa Open.
• Servidor o pipeline. Inscribe el servidor como máquina o crea un token de servicio vinculado por OIDC a un repositorio y una rama.
• Alguien se va. El proceso de baja de miembros rota las claves de los entornos, revoca sus tokens y enlaces y enumera los valores que reemitir en los proveedores.

Crunu no puede hacer que nadie olvide un valor que ya vio. Para eso, la solución sigue siendo reemitirlo en el proveedor, como explica la página de limitaciones.

Cómo pasarse a Crunu

1. Crea una cuenta y guarda tu Emergency Kit.
2. Crea un proyecto por aplicación, con los entornos development, staging y production.
3. Arrastra tus archivos .env, o carpetas como .aws, a cada entorno. Crunu lee archivos KEY=VALUE, secciones INI, YAML plano y texto sin formato. Las claves personales como ~/.aws/credentials van en tu proyecto personal.
4. Invita al equipo y asigna roles por entorno.
5. Borra los mensajes y notas antiguos que contenían secretos, y reemite en el proveedor cualquier clave de producción que se haya pegado alguna vez en el chat.