Crunu vs. Infisical para los secretos del equipo

Infisical es una plataforma de secretos de código abierto con una nube alojada y una opción autoalojada. Cubre la gestión de secretos, los secretos dinámicos, la rotación, la sincronización con otras plataformas, un operator de Kubernetes, SDK en muchos lenguajes y productos aparte para certificados y acceso privilegiado. Crunu es más pequeño y, en su núcleo, toma una decisión distinta: el servidor nunca tiene una clave capaz de descifrar tus valores.

Si estás eligiendo entre los dos, la pregunta es sobre todo qué compromiso prefieres. El servidor de Infisical descifra los secretos para entregarlos, y sobre esa base Infisical ofrece sincronización, rotación y credenciales generadas. El servidor de Crunu no puede leer los valores, y eso descarta esas funciones.

A quién le conviene cada uno

Infisical conviene a los equipos que quieren una plataforma de código abierto y autoalojable con mucha automatización: sincronización de secretos, credenciales dinámicas, rotación, flujos de aprobación, acceso temporal, Kubernetes y SDK. Conviene a las empresas que hoy necesitan un proveedor con cumplimiento SOC 2 y que aceptan, como parte del diseño, un servidor capaz de descifrar los secretos.

Crunu conviene a los equipos que quieren una bóveda cuyo servidor no pueda leer los valores si se comprometen su host o su base de datos. Conviene a los equipos que entregan secretos estáticos a máquinas Linux y pipelines de CI, que quieren un registro firmado de quién puede leer cada entorno y un informe preciso de lo que recibió una persona que se va.

Comparativa punto por punto

En qué destaca Infisical

• Código abierto. El núcleo de Infisical tiene licencia MIT, y su documentación cubre el autoalojamiento con Docker, Kubernetes, un paquete para Linux, AWS y GCP. El código fuente de Crunu no se publica.
• Automatización. Sincronización de secretos, secretos dinámicos, rotación programada y flujos de aprobación, según el plan. Crunu no tiene nada de esto.
• Ecosistema. Infisical incluye un operator de Kubernetes, un proveedor de Terraform y SDK para nueve lenguajes, entre ellos Node.js, Python, Go y Java. Crunu ofrece crunu run y crunu pull, sin SDK y sin compatibilidad con Kubernetes.
• Acceso temporal. Infisical ofrece permisos de acceso temporales en su plan Advanced y superiores. En Crunu solo caducan las invitaciones, los enlaces de acceso, los tokens de servicio, las concesiones de las máquinas y el acceso de emergencia (break-glass).
• Auditorías y certificaciones. Infisical se describe como conforme con SOC 2, HIPAA y FIPS 140-3, y hace pruebas de penetración dos veces al año. Crunu está en acceso anticipado y no publica un informe SOC 2 ni una auditoría externa.

Qué hace Crunu de otra manera

El servidor es ciego por diseño. Las claves en capas de Infisical hacen que una base de datos robada no baste por sí sola para descifrar los datos. Sin embargo, el servidor en ejecución recibe la clave raíz de su operador y descifra los datos solicitados antes de responder. Crunu no tiene una clave así en el servidor. Los valores se sellan en tus dispositivos con las claves públicas de las personas y las máquinas autorizadas a leerlos.

Acceso firmado. La lista de quién puede leer un entorno es un documento firmado por un administrador, y cada versión la firma su autor. Los clientes y los agentes comprueban esas firmas y rechazan los estados anteriores, así que un servidor comprometido no puede añadirse en silencio como lector.

Una baja es un cambio de claves. Dar de baja a un miembro rota las claves de todos los entornos que podía leer. El proceso de baja de miembros muestra qué versiones recibió y enumera los valores que reemitir en los proveedores.

Lo que Crunu no puede proteger. El servidor sigue viendo metadatos como nombres, direcciones de correo y marcas de tiempo, y un cliente web servido por un servidor comprometido es el principal riesgo que queda. La página de limitaciones de Crunu trata este punto y el archivo local crunu.html, que lo reduce.

Cómo pasarse a Crunu

1. Crea una cuenta y guarda tu Emergency Kit.
2. Crea un proyecto por cada proyecto de Infisical y un entorno por cada entorno que uses.
3. En una máquina de confianza, escribe los valores que necesitas en archivos .env.
4. Arrastra los archivos a los entornos correspondientes y después borra las copias sin cifrar.
5. Sustituye infisical run por crunu run, inscribe tus servidores como máquinas y da a los pipelines tokens de servicio con vinculación OIDC.

Los secretos dinámicos, la sincronización y la entrega en Kubernetes no tienen equivalente en Crunu. Mantén Infisical para eso o plantea otro enfoque.