Crunu vs 1Password pour les secrets d’équipe

1Password est un gestionnaire de mots de passe doté d’outils pour les développeurs : comptes de service, un serveur Connect auto-hébergé, une CLI qui transmet les secrets aux processus, et Environments pour les variables de projet. Crunu a un périmètre plus étroit : un coffre-fort pour les variables d’environnement, les identifiants cloud et les clés d’API, avec un agent pour les machines et les pipelines CI.

Les deux chiffrent sur vos appareils, et les deux combinent le mot de passe du compte avec une Secret Key stockée sur vos appareils. Le modèle de connexion de Crunu suit la conception décrite dans le livre blanc de sécurité de 1Password. Les différences portent sur le retrait des personnes, l’exploitation du serveur et la livraison des secrets aux machines.

À qui s’adresse chaque outil

1Password convient aux équipes qui veulent un seul outil pour les identifiants de sites web, les clés d’accès (passkeys), les mots de passe partagés et les secrets des développeurs. Il propose des applications pour Mac, Windows, Linux, iOS et Android, ainsi que des extensions de navigateur. Si votre entreprise utilise déjà 1Password Business avec l’authentification unique et le provisionnement automatisé depuis un fournisseur d’identité, les secrets des développeurs peuvent rester dans l’outil que vos administrateurs gèrent déjà.

Crunu convient aux équipes d’ingénierie dont le vrai problème, ce sont les fichiers .env, les ~/.aws/credentials et les clés d’API éparpillés entre ordinateurs portables, messageries et réglages de CI. Il est conçu autour des projets, des environnements, des machines et des pipelines, et autour du jour où quelqu’un quitte l’équipe. Il convient aussi aux équipes qui veulent faire tourner le serveur du coffre-fort sur leur propre infrastructure.

Côte à côte

Là où 1Password a l’avantage

• Étendue. 1Password couvre les identifiants, les clés d’accès, le remplissage automatique et les secrets des développeurs, sur ordinateur comme sur mobile. Crunu n’a ni application mobile, ni extension de navigateur, ni agent Windows.
• Intégration à l’identité. 1Password Business se connecte à des fournisseurs d’identité comme Okta, Microsoft Entra ID et Google Workspace pour la connexion et le provisionnement. Crunu n’a ni SSO ni SCIM.
• Audits et certifications. 1Password indique être certifié SOC 2 Type 2, publie les résultats d’audits indépendants et mène un programme de bug bounty. Crunu est un produit récent en accès anticipé et ne publie ni rapport SOC 2 ni audit externe.
• Kubernetes et SDK. 1Password propose un Kubernetes Operator, un Secrets Injector, des charts Helm et des SDK pour Go, JavaScript et Python. Crunu n’a rien de tout cela ; les applications utilisent crunu run.
• Synchronisation cloud. 1Password Environments peut synchroniser les variables vers AWS Secrets Manager, une fonction que 1Password présente comme bêta. Crunu n’a pas de synchronisation intégrée vers les gestionnaires de secrets des clouds.

Ce qui se passe quand quelqu’un part

C’est la différence de conception la plus nette, et 1Password la documente sans détour. Chaque membre d’un coffre détient une copie de la clé du coffre, chiffrée pour sa clé publique. Au retrait, cette copie est supprimée du serveur, le serveur cesse d’envoyer les données du coffre et le client reçoit l’ordre d’effacer les copies locales. Le livre blanc précise que le retrait n’est pas garanti par la cryptographie et que les clés ne changent pas. Une personne qui aurait conservé la clé du coffre auparavant ne pourrait lire les éléments ajoutés ensuite que si elle obtenait aussi les données chiffrées mises à jour. La parade proposée par 1Password consiste à déplacer les éléments dans un nouveau coffre, qui a une nouvelle clé.

Crunu renouvelle les clés au retrait. Le serveur cesse de servir la personne, et chaque environnement qu’elle pouvait lire reçoit une nouvelle clé qu’elle n’a jamais eue. Quand un administrateur part, les clés de signature et de récupération de l’organisation sont remplacées elles aussi. La procédure de départ d’un membre montre quelles versions la personne a reçues et liste les valeurs à réémettre chez chaque fournisseur.

Aucun des deux produits ne peut faire oublier à quelqu’un ce qu’il a déjà vu. Ces valeurs restent valides jusqu’à ce que vous les réémettiez chez le fournisseur, comme l’explique la page des limites de Crunu.

Passer à Crunu

1. Créez un compte. Vos clés sont créées dans l’application. Enregistrez l’Emergency Kit avant toute chose.
2. Créez un projet par application et un environnement par étape, par exemple development, staging et production.
3. Sur un ordinateur de confiance, placez les valeurs dont vous avez besoin dans des fichiers .env, ou dans des fichiers INI pour des outils comme l’AWS CLI.
4. Glissez les fichiers, ou des dossiers comme .aws, dans l’environnement. Crunu lit les fichiers KEY=VALUE, les sections INI, le YAML plat et le texte brut.
5. Invitez votre équipe et donnez à chacun un rôle par environnement : Editor, Reader, Specific files ou Operator.
6. Enrôlez vos serveurs comme machines et donnez des jetons de service aux pipelines, puis supprimez les fichiers en clair créés à l’étape 3.