Crunu vs Infisical pour les secrets d’équipe

Infisical est une plateforme de secrets open source, avec un cloud hébergé et une option auto-hébergée. Elle couvre la gestion des secrets, les secrets dynamiques, la rotation, les synchronisations vers d’autres plateformes, un operator Kubernetes, des SDK dans de nombreux langages, et des produits distincts pour les certificats et les accès à privilèges. Crunu est plus restreint et fait, au cœur, un choix différent : le serveur ne détient jamais de clé capable de déchiffrer vos valeurs.

Si vous hésitez entre les deux, la question porte surtout sur le compromis que vous préférez. Le serveur d’Infisical déchiffre les secrets pour les servir, et Infisical propose par-dessus des synchronisations, de la rotation et des identifiants générés. Le serveur de Crunu ne peut pas lire les valeurs, ce qui exclut ces fonctions.

À qui s’adresse chaque outil

Infisical convient aux équipes qui veulent une plateforme open source et auto-hébergeable, avec une automatisation étendue : synchronisations de secrets, identifiants dynamiques, rotation, circuits d’approbation, accès temporaires, Kubernetes et SDK. Il convient aux entreprises qui ont besoin dès aujourd’hui d’un fournisseur conforme SOC 2, et qui acceptent un serveur capable de déchiffrer les secrets comme un élément de la conception.

Crunu convient aux équipes qui veulent un coffre-fort dont le serveur ne peut pas lire les valeurs si son hôte ou sa base de données est compromis. Il convient aux équipes qui livrent des secrets statiques à des machines Linux et à des pipelines CI, qui veulent un relevé signé de qui peut lire chaque environnement, et un rapport précis de ce qu’a reçu une personne sur le départ.

Côte à côte

Là où Infisical a l’avantage

• Open source. Le cœur d’Infisical est sous licence MIT, et sa documentation couvre l’auto-hébergement avec Docker, Kubernetes, un paquet Linux, AWS et GCP. Le code source de Crunu n’est pas publié.
• Automatisation. Synchronisations de secrets, secrets dynamiques, rotation planifiée et circuits d’approbation sont tous disponibles, selon le forfait. Crunu n’a rien de tout cela.
• Écosystème. Infisical fournit un operator Kubernetes, un provider Terraform et des SDK pour neuf langages, dont Node.js, Python, Go et Java. Crunu propose crunu run et crunu pull, sans SDK ni prise en charge de Kubernetes.
• Accès temporaire. Infisical propose des accès temporaires à partir de son forfait Advanced. Dans Crunu, seuls les invitations, les liens de partage, les jetons de service, les baux des machines et les accès d’urgence (break-glass) expirent.
• Audits et certifications. Infisical se dit conforme SOC 2, HIPAA et FIPS 140-3 et fait réaliser des tests d’intrusion deux fois par an. Crunu est en accès anticipé et ne publie ni rapport SOC 2 ni audit externe.

Ce que Crunu fait autrement

Le serveur est aveugle par conception. Avec les clés en couches d’Infisical, une base de données volée ne suffit pas à déchiffrer les données. Le serveur en fonctionnement, lui, reçoit la clé racine de son opérateur et déchiffre les données demandées avant de répondre. Crunu n’a pas de clé de ce genre sur le serveur. Les valeurs sont scellées sur vos appareils pour les clés publiques des personnes et des machines autorisées à les lire.

Un accès signé. La liste de qui peut lire un environnement est un document signé par un administrateur, et chaque version est signée par son auteur. Clients et agents vérifient ces signatures et rejettent les états plus anciens : un serveur compromis ne peut pas s’ajouter discrètement comme lecteur.

Un départ, c’est un changement de clés. Retirer un membre renouvelle les clés de chaque environnement que la personne pouvait lire. La procédure de départ d’un membre montre quelles versions elle a reçues et liste les valeurs à réémettre chez les fournisseurs.

Ce que Crunu ne peut pas protéger. Le serveur voit toujours des métadonnées comme les noms, les adresses e-mail et les horodatages, et un client web servi par un serveur compromis reste le principal risque. La page des limites de Crunu traite ce point, ainsi que le fichier local crunu.html qui réduit ce risque.

Passer à Crunu

1. Créez un compte et enregistrez votre Emergency Kit.
2. Créez un projet pour chaque projet Infisical et un environnement pour chaque environnement que vous utilisez.
3. Sur une machine de confiance, écrivez les valeurs dont vous avez besoin dans des fichiers .env.
4. Glissez les fichiers dans les environnements correspondants, puis supprimez les copies en clair.
5. Remplacez infisical run par crunu run, enrôlez vos serveurs comme machines et donnez aux pipelines des jetons de service avec liaison OIDC.

Les secrets dynamiques, les synchronisations et la livraison vers Kubernetes n’ont pas d’équivalent dans Crunu. Gardez Infisical pour ces usages, ou prévoyez une autre approche.