Crunu vs Doppler per i segreti del team

Doppler è un gestore di segreti offerto come servizio cloud, con un’opzione on-prem nel piano Enterprise. Conservi le variabili per progetto e config, avvii la tua app con doppler run, e Doppler invia i valori alle piattaforme su cui fai il deploy, da AWS Secrets Manager a Vercel. Crunu copre un terreno simile per progetti e ambienti, ma parte da un presupposto diverso: il server conserva solo testo cifrato e non possiede mai una chiave in grado di decifrare i tuoi valori.

Quel presupposto ha un costo. Inviare i valori ad altre piattaforme e ruotarli automaticamente richiede un servizio che possa lavorare sui valori stessi. Doppler offre entrambe le cose. Crunu no, per scelta progettuale. Questa pagina mostra dove vince ciascun approccio.

A chi conviene ciascuno

Doppler conviene ai team che vogliono far arrivare i segreti su molte piattaforme con poca configurazione: archivi di segreti nel cloud, sistemi CI, provider di hosting e Kubernetes. Conviene ai team che vogliono rotazione automatica, richieste di modifica, SSO SAML e supporto per Windows, e che accettano che i segreti vengano cifrati dal lato del vendor anziché sui propri dispositivi.

Crunu conviene ai team che vogliono un vault il cui server non può leggere i valori, anche se il suo database o il suo hosting vengono violati. Conviene ai team che consegnano i segreti alle proprie macchine Linux e pipeline CI, vogliono un registro preciso di ciò che ha ricevuto chi lascia il team e potrebbero voler ospitare il server in proprio.

Confronto diretto

Dove Doppler è più forte

• Integrazioni. Doppler elenca destinazioni di sincronizzazione su AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway e altre. Crunu non ha alcuna sincronizzazione integrata con piattaforme cloud o di hosting.
• Automazione sui valori. Doppler ruota automaticamente i segreti nei piani a pagamento e indica segreti dinamici nel piano Enterprise. Crunu ruota solo le proprie chiavi di cifratura.
• Funzioni di workflow. Le richieste di modifica permettono di proporre cambiamenti a config su cui non si ha il permesso di scrittura. Il flusso di approvazione di Crunu riguarda le richieste di accesso, non le modifiche ai valori.
• Identità e piattaforme. SSO SAML nel piano Team, SCIM in Enterprise e una CLI per Windows. Crunu non ha né SSO né SCIM, né un agente per Windows.
• Verifiche esterne. Doppler dichiara di avere le certificazioni SOC 2 e ISO 27001, esegue penetration test white box almeno una volta all’anno e gestisce un bug bounty pubblico. Crunu è in accesso anticipato e non pubblica un report SOC 2 né un audit esterno.

Cosa fa Crunu in modo diverso

Il server è cieco. Il design di Doppler tiene le chiavi lontane dai sistemi esposti su internet, ma il suo servizio riceve comunque i segreti e li cifra dal proprio lato. In Crunu, i valori vengono cifrati prima di lasciare il tuo dispositivo e decifrati solo sui dispositivi che possiedono una chiave dell’ambiente. Una copia completa del database di Crunu non aiuta nessuno a indovinare le password, perché la chiave dell’account dipende anche dalla Secret Key.

Doppler applica la stessa idea in un solo prodotto: Doppler Share cifra sul client, così il testo in chiaro non raggiunge mai i suoi sistemi, tranne per i segreti condivisi tramite la sua app per Slack. Crunu lo fa per tutto, compresi i link di condivisione per chi non ha un account.

Chi se ne va lascia una traccia. Crunu registra quali versioni di quali ambienti ha ricevuto ogni persona. Quando qualcuno se ne va, la procedura di rimozione dei membri ruota le chiavi di ogni ambiente che poteva leggere ed elenca i valori da riemettere presso i fornitori.

Limiti dichiarati. Il server vede comunque metadati come i nomi dei progetti, gli indirizzi email e i timestamp. Le restrizioni di rete sono applicate dal server, non dalla crittografia. La pagina sulle limitazioni elenca il resto.

Passare a Crunu

1. Crea un account e salva il tuo Emergency Kit.
2. Crea un progetto per ogni progetto Doppler e un ambiente per ogni config che usi.
3. Su una macchina fidata, scrivi i valori di ogni config in un file .env.
4. Trascina i file negli ambienti corrispondenti, poi cancella le copie in chiaro.
5. Sostituisci doppler run con crunu run. Registra i tuoi server come macchine e dai alle pipeline token di servizio con vincolo OIDC.
6. Le piattaforme che Doppler sincronizzava hanno bisogno di una ricetta nella CI o di aggiornamenti manuali, perché Crunu non ha una sincronizzazione integrata.