Crunu vs les fichiers .env dans la messagerie et les notes

La plupart des équipes commencent de la même façon. Quelqu’un a besoin de l’URL de la base de données de staging, alors un collègue colle le fichier .env dans un message privé. Une nouvelle recrue reçoit une note avec les clés AWS. Un prestataire reçoit la clé Stripe dans un groupe de discussion. Ça marche, ça ne coûte rien, et personne n’a à apprendre un nouvel outil.

Les ennuis arrivent plus tard. Les mêmes valeurs vivent désormais dans l’historique des discussions, dans la recherche, dans les exports et dans les notes de tous ceux qui les ont copiées. Quand quelqu’un part, personne ne peut dire qui a vu quelle clé, et la seule réponse sûre est de tout réémettre. Cette page compare honnêtement cette habitude avec Crunu, y compris dans les cas où elle suffit.

À qui s’adresse chaque approche

La messagerie et les notes conviennent à un développeur seul ou à deux personnes sur un prototype sans données de production, avec uniquement des clés de test et rien à perdre si une valeur fuite. Elles conviennent aussi à une transmission ponctuelle quand la valeur sera réémise juste après.

Crunu convient à toute équipe qui a des clés de production, où des gens arrivent et partent, où machines et CI ont besoin des mêmes valeurs, et où quelqu’un finira par demander qui avait accès à quoi.

Côte à côte

Là où la messagerie et les notes ont l’avantage

• Aucune mise en place. Votre équipe utilise déjà la messagerie. Crunu demande un compte, et n’a pas d’application mobile.
• Rien de plus à protéger. Crunu ajoute une Secret Key et un Emergency Kit à votre mot de passe, et son serveur ne peut pas réinitialiser votre mot de passe. Sans le mot de passe, la Secret Key et le code de récupération, personne ne peut ouvrir le compte, Crunu compris.
• La rapidité pour un cas ponctuel. Pour une clé de test que vous jetterez demain, un message privé va plus vite que n’importe quel coffre-fort.

Pourquoi l’habitude est difficile à défaire

Les copies se multiplient. Un fichier collé atterrit dans l’historique des messages et dans la recherche, et les discussions cloud de Telegram sont lisibles depuis n’importe lequel de vos appareils. Sur les forfaits payants de Slack, messages et fichiers sont conservés pendant toute la vie de l’espace de travail, sauf si un propriétaire définit une politique de conservation. Une note synchronisée dans le cloud, c’est une copie de plus sur un service de plus.

Les exports vont plus loin que la discussion. Les propriétaires et administrateurs d’un espace de travail Slack peuvent exporter les messages des canaux publics. Dans les forfaits Business+ et Enterprise, l’export des canaux privés et des messages directs est possible sur demande.

Le chiffrement protège le transport, pas l’habitude. Slack chiffre les données en transit et au repos, et son option Enterprise Key Management permet aux clients Enterprise d’utiliser leurs propres clés. Les discussions cloud de Telegram sont stockées chiffrées dans son cloud ; seules les discussions secrètes sont chiffrées de bout en bout et liées à un seul appareil. Rien de tout cela ne limite qui, dans la conversation, peut lire et copier la valeur.

Un départ n’a pas de réponse propre. Les recommandations de l’OWASP indiquent que les clés exposées doivent être révoquées immédiatement et que les secrets ne doivent jamais être accessibles à tout le monde. Quand un collègue qui participait à la discussion s’en va, l’hypothèse sûre est que chaque clé qui s’y trouve est exposée.

Comment Crunu gère les mêmes situations

• Nouveau collègue. Invitez-le et attribuez-lui un profil d’accès, par exemple Editor sur development et staging sans production.
• Prestataire sans compte. Envoyez un lien de partage vers des fichiers choisis, avec une date d’expiration, une limite de vues ou un mot de passe. La clé de déchiffrement se trouve dans le lien, après le #, et n’est jamais envoyée au serveur. L’aperçu d’une messagerie ne consomme pas le lien ; il ne s’ouvre que lorsque quelqu’un clique sur Open.
• Serveur ou pipeline. Enrôlez le serveur comme machine ou créez un jeton de service lié par OIDC à un dépôt et à une branche.
• Quelqu’un part. La procédure de départ d’un membre renouvelle les clés des environnements, révoque ses jetons et ses liens, et liste les valeurs à réémettre chez les fournisseurs.

Crunu ne peut faire oublier à personne une valeur déjà vue. La réémission chez le fournisseur reste la seule parade, comme l’explique la page des limites.

Passer à Crunu

1. Créez un compte et enregistrez votre Emergency Kit.
2. Créez un projet par application, avec les environnements development, staging et production.
3. Glissez vos fichiers .env, ou des dossiers comme .aws, dans chaque environnement. Crunu lit les fichiers KEY=VALUE, les sections INI, le YAML plat et le texte brut. Les clés personnelles comme ~/.aws/credentials vont dans votre projet personnel.
4. Invitez l’équipe et définissez les rôles par environnement.
5. Supprimez les anciens messages et notes qui contenaient des secrets, et réémettez chez le fournisseur toute clé de production qui a un jour été collée dans une discussion.