Crunu vs Doppler pour les secrets d’équipe

Doppler est un gestionnaire de secrets proposé en service cloud, avec une option on-prem dans son forfait Enterprise. Vous rangez les variables par projet et par config, vous lancez votre application avec doppler run, et Doppler pousse les valeurs vers les plateformes où vous déployez, d’AWS Secrets Manager à Vercel. Crunu couvre un terrain proche pour les projets et les environnements, mais part d’un autre principe : le serveur ne stocke que des données chiffrées et ne détient jamais de clé capable de déchiffrer vos valeurs.

Ce principe a un prix. Pousser des valeurs vers d’autres plateformes et en faire la rotation automatique exige un service capable de manipuler les valeurs elles-mêmes. Doppler propose les deux. Crunu non, par conception. Cette page montre où chaque approche l’emporte.

À qui s’adresse chaque outil

Doppler convient aux équipes qui veulent que les secrets alimentent de nombreuses plateformes avec peu de configuration : gestionnaires de secrets des clouds, systèmes de CI, hébergeurs et Kubernetes. Il convient aux équipes qui veulent la rotation automatique, les demandes de modification, le SSO SAML et la prise en charge de Windows, et qui acceptent que les secrets soient chiffrés chez le fournisseur plutôt que sur leurs propres appareils.

Crunu convient aux équipes qui veulent un coffre-fort dont le serveur ne peut pas lire les valeurs, même si sa base de données ou son hébergement est compromis. Il convient aux équipes qui livrent des secrets à leurs propres machines Linux et à leurs pipelines CI, qui veulent un relevé précis de ce qu’a reçu une personne sur le départ, et qui envisagent d’héberger le serveur elles-mêmes.

Côte à côte

Là où Doppler a l’avantage

• Intégrations. Doppler liste des cibles de synchronisation chez AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway et d’autres. Crunu n’a de synchronisation intégrée avec aucun cloud ni aucun hébergeur.
• Automatisation sur les valeurs. Doppler fait la rotation automatique des secrets dans les forfaits payants et annonce des secrets dynamiques dans Enterprise. Crunu ne renouvelle que ses propres clés de chiffrement.
• Circuits de travail. Les demandes de modification permettent de proposer des changements sur des configs qu’on ne peut pas modifier soi-même. Le circuit d’approbation de Crunu couvre les demandes d’accès, pas les modifications de valeurs.
• Identité et plateformes. SSO SAML dans Team, SCIM dans Enterprise et une CLI pour Windows. Crunu n’a ni SSO, ni SCIM, ni agent Windows.
• Audits et certifications. Doppler indique être certifié SOC 2 et ISO 27001, faire réaliser des tests d’intrusion en boîte blanche au moins une fois par an et mener un bug bounty public. Crunu est en accès anticipé et ne publie ni rapport SOC 2 ni audit externe.

Ce que Crunu fait autrement

Le serveur est aveugle. La conception de Doppler tient les clés à l’écart des systèmes exposés à Internet, mais son service reçoit quand même les secrets et les chiffre de son côté. Dans Crunu, les valeurs sont chiffrées avant de quitter votre appareil et déchiffrées uniquement sur les appareils qui détiennent une clé d’environnement. Une copie complète de la base de données de Crunu n’aide personne à deviner des mots de passe, car la clé du compte dépend aussi de la Secret Key.

Doppler applique la même idée dans un de ses produits : Doppler Share chiffre côté client, si bien que le texte en clair n’atteint jamais ses systèmes, sauf pour les secrets partagés via son application Slack. Crunu le fait pour tout, y compris pour les liens de partage destinés aux personnes sans compte.

Les départs laissent une trace. Crunu enregistre quelles versions de quels environnements chaque personne a reçues. Quand quelqu’un part, la procédure de départ d’un membre renouvelle les clés de chaque environnement que la personne pouvait lire et liste les valeurs à réémettre chez les fournisseurs.

Des limites assumées. Le serveur voit toujours des métadonnées comme les noms de projets, les adresses e-mail et les horodatages. Les restrictions réseau sont appliquées par le serveur, pas par la cryptographie. La page des limites détaille le reste.

Passer à Crunu

1. Créez un compte et enregistrez votre Emergency Kit.
2. Créez un projet pour chaque projet Doppler et un environnement pour chaque config que vous utilisez.
3. Sur une machine de confiance, écrivez les valeurs de chaque config dans un fichier .env.
4. Glissez les fichiers dans les environnements correspondants, puis supprimez les copies en clair.
5. Remplacez doppler run par crunu run. Enrôlez vos serveurs comme machines et donnez aux pipelines des jetons de service avec liaison OIDC.
6. Les plateformes que Doppler alimentait par synchronisation demandent une recette dans la CI ou des mises à jour manuelles, car Crunu n’a pas de synchronisation intégrée.