Accès anticipéÉquipes, machines et CI
Partagez vos secrets avec votre équipe, pas avec le serveur.
Un seul coffre-fort pour les fichiers .env, les clés d’API et les identifiants cloud de votre équipe. Les valeurs sont chiffrées sur vos appareils, et le serveur ne stocke que des données chiffrées.
Voir comment ça marcheUn seul coffre-fort pour tous vos environnements
Les projets regroupent des environnements, et chaque environnement a sa propre clé. Personnes, machines et pipelines CI n’obtiennent que les environnements qui leur sont accordés.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Enrôlez-la avec un code à usage unique. Il est brûlé dès sa première utilisation ; une seconde tentative déclenche une alerte.
- Approuvez la machine après avoir comparé l’empreinte qu’affiche
crunu enroll. - L’agent garde les environnements déchiffrés en mémoire et les transmet à votre processus.
Prêt en trois étapes
Commencez sur app.crunu.com avec les fichiers .env que votre équipe a déjà. Les personnes n’ont besoin que d’un navigateur ; l’agent sert aux machines et à la CI.
1Créez un coffre-fort
Créez un projet et glissez-y vos fichiers .env, ou des dossiers entiers comme .aws. Crunu lit les variables et propose l’emplacement de chaque fichier sur le disque.
2Invitez votre équipe
Envoyez un lien d’invitation et comparez l’empreinte de clé de chaque nouveau membre avant de lui donner accès. Les rôles se définissent par environnement.
3Lancez avec crunu run
Enrôlez une machine avec un code à usage unique, approuvez-la après vérification de l’empreinte, puis lancez votre application avec crunu run.
Personnes, machines et CI : une seule source
Votre équipe ouvre les environnements dans le navigateur. Les machines et les jobs CI les reçoivent par l’agent Crunu. Les deux déchiffrent les mêmes données chiffrées avec la même cryptographie : plus personne ne se fait passer de fichiers .env.
Chaque machine a ses propres clés
La clé d’une machine n’ouvre rien sur une autre. Révoquez une machine, et les clés d’environnement qu’elle détenait sont renouvelées.
La CI liée à un dépôt
Liez un jeton de service à un dépôt et à une branche avec OIDC. Un jeton qui fuite est refusé s’il est présenté seul.
Tient pendant une panne
Si le réseau tombe, l’agent sert le dernier état vérifié jusqu’à la fin de son bail, 24 heures par défaut.
Quelqu’un part. Toutes ses clés sont remplacées.
Retirer un membre tient en une seule procédure guidée. Le serveur cesse de lui servir quoi que ce soit dès son retrait.
Voir ce qui a été reçu
Le rapport d’exposition indique quelles versions de quels environnements la personne a récupérées, quand et depuis quelle adresse.
Renouveler ses clés
Crunu remplace la clé de chaque environnement auquel la personne avait accès et révoque ce qu’elle pouvait encore utiliser : jetons de service, liens de partage, invitations et codes d’enrôlement.
Réémettre chez le fournisseur
Une liste de contrôle nomme chaque valeur à remplacer chez son fournisseur, sans afficher les valeurs.
Ce qui a été vu reste vu
La rotation protège chaque nouvelle version. Les valeurs déjà vues restent valides tant que vous ne les avez pas réémises : c’est à cela que sert la liste de contrôle.
Ce qui tient même si le serveur est compromis
Chaque garantie nomme le mécanisme qui la porte : elle ne repose pas sur la confiance envers qui exploite le serveur.
Une base de données volée ne révèle pas les valeurs
La clé de votre compte dérive de votre mot de passe et d’une Secret Key qui n’atteint jamais le serveur : une copie complète de la base ne sert à rien pour deviner le mot de passe.
Le serveur ne peut pas s’octroyer l’accès
La liste de qui peut lire un environnement est un document signé par un administrateur, et chaque version est signée par son auteur. Navigateurs et agents vérifient les deux.
Toute modification du journal d’audit se voit
Les entrées forment une chaîne de hachage : une modification, une suppression ou une insertion fait échouer la vérification. Exportez le journal en JSONL pour le vérifier hors de Crunu.
Gratuit pendant l’accès anticipé
Toutes les fonctionnalités sont incluses tant que Crunu est en accès anticipé. Voici les limites actuelles.
Taille d’un environnement
Tous les fichiers d’un environnement réunis.
1 Mo
par environnement
1 048 576 octets- .env, INI et YAML plat champ par champ
- Tout autre fichier texte en entier
Historique des versions
Chaque enregistrement crée une version.
100versions
par environnement
jusqu’à 64 Mo- Auteur et heure sur chaque version
- Restaurer une ancienne version comme nouvelle
Accès anticipéActuel
Toutes les fonctionnalités, dans notre cloud sur app.crunu.com.
Gratuit
Rien à payer
Créer un compte gratuit- Application web et agent Crunu
- Machines et jetons de service CI
- Demandes d’accès et départs
- Journal d’audit et alertes
Projets
Chaque projet regroupe ses environnements.
500projets
par organisation
jusqu’à 50 env. chacun- Chaque environnement a sa propre clé
- Et sa propre liste d’accès
Liste d’accès
Qui peut lire un environnement.
5 000entrées
par environnement
membres, machines, CI- Editor, Reader, Specific files
- Operator pour les machines
Avant de migrer vos secrets
Ce que les équipes vérifient d’habitude avant de migrer leurs fichiers .env.
Une autre question ? Écrivez à support@crunu.com
Que voit le serveur ?
Un enregistrement chiffré par version de chaque environnement, plus des clés publiques et des documents signés. Il voit aussi des métadonnées : les noms des organisations, projets, environnements et machines, les e-mails des membres, le journal d’audit, ainsi que la taille et l’heure de chaque version. Les noms et les valeurs des variables n’existent qu’à l’intérieur des données chiffrées, et votre mot de passe comme votre Secret Key ne sont jamais envoyés.
Et si j’oublie mon mot de passe ou perds ma Secret Key ?
Il n’existe pas de réinitialisation du mot de passe, car le serveur ne peut pas en effectuer. Votre code de récupération ouvre le compte après un délai d’attente, une heure par défaut ; le titulaire du compte est prévenu, et une connexion normale annule la tentative. Un administrateur peut aussi transférer vos environnements personnels vers un nouveau compte. Conservez en lieu sûr l’Emergency Kit que vous imprimez à l’inscription.
Combien coûte Crunu ?
Crunu est gratuit pendant l’accès anticipé, toutes fonctionnalités incluses. Limites actuelles : 1 Mo par environnement, les 100 dernières versions d’historique dans la limite de 64 Mo, 500 projets par organisation, 50 environnements par projet et 5 000 entrées dans la liste d’accès d’un environnement.
Puis-je héberger le serveur moi-même ?
Oui. Il tourne dans Docker sur votre propre machine, sur Cloudflare Workers, Vercel, Google Cloud Run ou AWS App Runner, même si AWS a fermé App Runner aux nouveaux clients. Un serveur auto-hébergé passe d’une plateforme à l’autre avec une seule archive qui ne contient aucune valeur en clair. Sur Cloudflare, une équipe a besoin du forfait Workers Paid.
Avec quels systèmes de CI fonctionne-t-il ?
GitHub Actions, GitLab CI et Bitbucket Pipelines, avec une liaison OIDC au dépôt, à la branche et à l’environnement de déploiement. Tout autre émetteur OIDC fonctionne via un fournisseur générique. Une CI sans OIDC peut utiliser un jeton de service stocké dans ses secrets, avec crunu run.
Quels systèmes d’exploitation l’agent prend-il en charge ?
Linux et macOS, en amd64 et arm64. Sous Linux, l’agent peut tourner comme service systemd qui garde les environnements en mémoire. Sous macOS, il fonctionne en ligne de commande, pour les personnes et les jetons de service. Windows n’est pas pris en charge. L’application web demande Chrome 113, Safari 17, Firefox 129 ou plus récent.
Puis-je reprendre mes secrets d’un autre outil ?
Glissez des fichiers .env, des fichiers INI comme ~/.aws/credentials, du YAML plat ou tout fichier texte, y compris des dossiers entiers comme .aws, jusqu’à 300 fichiers à la fois. Crunu lit les variables et propose l’emplacement de chaque fichier sur le disque. Il n’y a pas d’import direct depuis 1Password, HashiCorp Vault, Doppler ou Infisical.
La révocation d’une machine prend-elle effet immédiatement ?
Le serveur cesse aussitôt de la servir, et les clés des environnements qu’elle détenait sont renouvelées. L’agent efface sa copie en quelques minutes tant que la machine est en ligne, car il se signale chaque minute par défaut. Une machine hors ligne s’arrête à la fin de son bail, 24 heures par défaut. Un processus déjà lancé garde ses variables jusqu’à son redémarrage.
Sortez vos fichiers .env de la messagerie
Créez votre compte sur app.crunu.com : confirmez votre e-mail, choisissez un mot de passe et enregistrez l’Emergency Kit avec votre Secret Key.