Las claves de cada cliente en su propio lugar, y una entrega limpia
Trabajar en una agencia significa manejar las cuentas en la nube, las claves de pago y las bases de datos de muchos clientes, con personas que pasan de un proyecto a otro. Crunu mantiene a cada cliente en una organización aparte, da a los contratistas solo lo que necesita su parte del trabajo y, cuando el trabajo termina, retira su acceso y te dice qué valores sustituir.
Lo que preguntan equipos como el tuyo
Las preguntas que surgen cuando un equipo como el tuyo reúne sus secretos en un solo lugar. La guía de abajo responde a cada una de ellas.
- ¿Cómo separamos las claves de un cliente de las de otro?
- ¿Cómo damos a un contratista solo los entornos en los que trabaja?
- ¿Cómo enviamos una clave al personal del cliente sin correo ni chat?
- ¿Se abrió el enlace que enviamos y cuándo deja de funcionar?
- ¿Qué conserva un contratista cuando termina el proyecto?
- ¿Qué valores sustituimos en los proveedores del cliente después de una entrega?
- ¿Cómo entregamos toda la configuración al cliente?
- ¿Qué registro podemos enseñar después al cliente?
Las partes de Crunu que lo cubren
Todas las partes funcionan con la misma regla: el servidor guarda datos cifrados, claves públicas y documentos firmados, y nunca tiene una clave que abra tus valores.
Control de acceso
Da a cada persona, máquina y pipeline solo los entornos que necesita, con roles respaldados por claves de cifrado y no solo por comprobaciones del servidor.
Más información
Enlaces de acceso
Comparte archivos seleccionados de un entorno con alguien que no tiene cuenta, mediante un enlace cuya clave de descifrado nunca llega al servidor.
Más información
Salidas del equipo
Cuando alguien se va, el servidor deja de entregarle datos, las claves de sus entornos cambian y un informe muestra lo que vio y lo que hay que reemitir.
Más información
Registro de auditoría
Los inicios de sesión, los permisos, las versiones, las rotaciones y los rechazos van a un registro encadenado con hashes que puedes verificar con un clic y exportar.
Más información
Bóveda cifrada
Guarda archivos .env, credenciales de la nube y claves de API en proyectos y entornos, cifrados en tus dispositivos antes de que nada llegue al servidor.
Más información
Cómo funciona para agencias y contratistas
En esta página
Dos formas en que los secretos de los clientes se descontrolan
Los secretos de distintos clientes acaban uno al lado del otro en una carpeta compartida. Y el acceso dura más que el contrato: el contratista que terminó en primavera todavía tiene en verano la contraseña de la base de datos de staging.
El trabajo es mantener separado a cada cliente, dar a cada persona solo su parte y cerrarlo todo al final con un registro que puedas enseñar al cliente.
Separado por cliente, acotado por persona, cerrado al final
- Un cliente, una organización. Una cuenta puede pertenecer a varias organizaciones, y cualquiera que haya iniciado sesión puede crear una nueva. Cada organización tiene sus propios miembros, proyectos, máquinas, claves y registro de auditoría.
- Los contratistas solo ven su parte. Concede Editor o Reader en los entornos en los que trabajan, o Specific files para darles una copia sellada solo de los archivos que elijas.
- Perfiles de acceso por rol. Ten un perfil para los contratistas de front-end y otro para quien despliega. Cambiar un perfil actualiza a todos sus miembros, y cada versión va firmada.
- Archivos para personas sin cuenta. Un enlace de acceso envía archivos seleccionados de un entorno. Fija una caducidad de hasta 365 días, un límite de visualizaciones que puede ser de una sola y una contraseña. La clave de descifrado va después del
#en la dirección, y esa parte nunca llega al servidor. - Las vistas previas no gastan el enlace. Una visualización solo cuenta cuando el destinatario pulsa Open, así que la vista previa del enlace en una app de chat no la consume. Los archivos descifrados solo existen en la memoria de la página.
- Una salida limpia. Dar de baja a un miembro muestra lo que recibió, rota las claves de todos los entornos que podía leer, revoca los tokens, los enlaces de acceso, las invitaciones y los códigos de inscripción que creó, y enumera los valores que hay que reemitir.
- Un registro para el cliente. El registro de auditoría es una cadena de hashes de inicios de sesión, versiones, enlaces y bajas. Verifícalo con un clic y expórtalo como JSONL.
Del arranque a la entrega
- Arranque. Crea una organización para el cliente, o pide que te inviten a la suya si ya usa Crunu.
- Configuración. Un proyecto por app, con sus entornos. Production va solo a las personas que despliegan.
- Equipo. Invita a los contratistas y da a cada uno un perfil de acceso según su rol.
- Entrega de archivos. Envía credenciales puntuales al personal del cliente con un enlace de acceso en lugar de por correo.
- Cierre. Da de baja a los contratistas con el asistente de baja de miembros, descarga el informe y completa la lista de reemisión.
- Entrega de la organización. Un propietario invita al responsable del cliente con el rol Owner, y este puede después retirar a tu equipo. Retirar a un administrador o a un propietario también sustituye las claves de firma y de recuperación de la organización.
Qué hay que prever
- El acceso de una persona no caduca solo. La lista de acceso de un entorno no tiene fecha de fin. Da de baja a los contratistas cuando terminen. Los enlaces de acceso, las invitaciones y los tokens de servicio sí caducan.
- Lo que vio un contratista se queda con él. Crunu te dice qué valores recibió; tú reemites esos valores en cada proveedor. Crunu no reemite por ti los valores en los proveedores.
- Crunu gestiona el acceso dentro de Crunu. Retira a la persona de las consolas en la nube, los repositorios y la CI por separado.
- Un enlace sin contraseña se abre para cualquiera que tenga la dirección completa. Añade una contraseña a todo lo que sea sensible. Con una contraseña, nadie puede ni siquiera descargar los datos cifrados sin ella, y los intentos se comprueban en línea, con límites.
- Hasta 100 enlaces de acceso nuevos por cuenta y día.
Cada limitación, con lo que puedes hacer al respecto, está en la página de limitaciones.
Documentación relacionada
Dudas frecuentes
¿No está aquí? Escribe a support@crunu.com y te responderá una persona.
¿Puede una persona trabajar en varias organizaciones de clientes?
Sí. Una cuenta puede pertenecer a varias organizaciones, y pasas de una a otra en la app. Las claves, los miembros y los registros se mantienen separados por organización.
¿Cómo doy acceso a un contratista durante tres meses?
No se puede poner fecha de fin al acceso de una persona. Dala de baja cuando termine el trabajo. Para archivos puntuales, usa en su lugar un enlace de acceso con caducidad.
¿Puede un contratista ver production?
Solo si se lo concedes. Sin la clave de production no puede descifrar production, le envíe lo que le envíe el servidor.
¿Qué podemos dar al cliente en la entrega?
El informe de baja descargado, que enumera lo que recibió cada persona dada de baja, cuándo y desde dónde; una exportación del registro de auditoría en JSONL; y la lista de reemisión, que nombra los valores que hay que sustituir sin mostrarlos.
¿El destinatario de un enlace de acceso necesita una cuenta?
No. Abre el enlace en un navegador, comprueba que la firma del propietario está verificada y puede guardar los archivos o descargar un script de instalación que los coloca en su sitio en una computadora o un servidor.
¿Puedo ver si se abrió un enlace?
Sí. Cada enlace muestra su estado y un contador de visualizaciones, y su apertura queda anotada en el registro de auditoría.