Crunu vs HashiCorp Vault per i segreti del team
Crunu e HashiCorp Vault a confronto: dove avviene la decifratura, segreti dinamici, policy, agenti, Kubernetes, hosting e cosa ti chiede di gestire ciascuno.
Il confronto nel dettaglio
In questa pagina
HashiCorp Vault è una piattaforma per i segreti di uso generale. Conserva segreti statici, genera credenziali su richiesta, emette certificati e offre la cifratura come servizio, con policy e molti metodi di autenticazione attorno a tutto questo. Crunu svolge una parte di quel lavoro: i segreti statici di un team, cioè file .env, credenziali cloud e chiavi API, organizzati per progetto e ambiente.
La differenza più profonda è il punto in cui i valori vengono decifrati. Vault cifra i dati prima di scriverli nello storage, e un server Vault, una volta eseguito l’unseal, li decifra per rispondere alle richieste. Il server di Crunu non possiede mai una chiave di decifratura: i valori vengono cifrati e decifrati solo nel browser e nell’agente crunu. Questa scelta è anche il motivo per cui Crunu non può fare alcune delle cose che Vault fa meglio.
A chi conviene ciascuno
Vault conviene ai team di piattaforma e di sicurezza che hanno bisogno di credenziali dinamiche per database o cloud, certificati, cifratura come servizio o integrazione con Kubernetes. Conviene alle organizzazioni con ingegneri in grado di occuparsi di progettazione, deployment, scalabilità e aggiornamenti di un servizio critico, o che acquistano il servizio gestito HCP Vault Dedicated.
Crunu conviene ai team a cui servono soprattutto segreti statici in un unico posto, con accesso per ambiente, consegna a macchine e CI e un processo pulito quando qualcuno se ne va. Conviene ai team che vogliono un server che non possa leggere i valori e che preferiscono non gestire un cluster Vault.
Confronto diretto
| HashiCorp Vault | Crunu | |
|---|---|---|
| Dove vengono decifrati i valori | Sul server Vault. Lo storage è considerato non affidabile; Vault cifra prima di scrivere e decifra dopo l’unseal. | Solo nel browser e nell’agente crunu. Il server conserva testo cifrato e documenti firmati. |
| Tipi di segreti | Chiave/valore statici, credenziali dinamiche, certificati (PKI), cifratura Transit, SSH e altro | Statici: file env, file INI come ~/.aws/credentials, YAML piatto e testo semplice |
| Credenziali dinamiche | Sì. Le credenziali dei database vengono generate per ogni client, concesse con un lease e revocate alla sua scadenza. | No, per scelta progettuale. Generare credenziali richiede una chiave sul server. |
| Modello di accesso | Policy basate sui percorsi, con negazione predefinita | Ruoli per ambiente: Editor, Reader, Specific files e Operator, con elenchi di accesso firmati |
| Identità delle macchine | Molti metodi di autenticazione. I token hanno un TTL e possono essere legati a intervalli CIDR. | Macchine registrate con un lease, più token di servizio con lease, limite di utilizzi e vincolo di rete facoltativo |
| CI con OIDC | Metodo di autenticazione JWT/OIDC con claim vincolati. GitHub documenta la configurazione per Actions. | Token di servizio legati a repository, branch e ambiente di deployment su GitHub Actions, GitLab CI, Bitbucket Pipelines o qualsiasi emittente OIDC |
| Agente | Vault Agent: auto-auth, caching, template verso file e una modalità che avvia un processo figlio con i segreti come variabili d’ambiente | crunu daemon tiene in memoria gli ambienti decifrati, e crunu run può riavviare un programma quando i valori cambiano. crunu pull scrive i file con permessi 0600. |
| Kubernetes | Chart Helm, Vault Secrets Operator, provider CSI e Agent Injector | Non disponibile |
| Cronologia delle versioni | KV v2 conserva 10 versioni per chiave, salvo diversa configurazione | 100 versioni per ambiente, fino a 64 MB |
| Audit | Gli audit device registrano richieste e risposte, con i valori stringa sottoposti a hash HMAC | Registro con catena di hash, verifica con un clic ed esportazione in JSONL. Nessun valore segreto nel registro. |
| Hosting | Community Edition, autogestita. Enterprise autogestita o come HCP Vault Dedicated su AWS o Azure. | Cloud di Crunu su app.crunu.com, o un tuo server su Docker, Cloudflare Workers, Vercel o Google Cloud Run |
| Modello di prezzo | HCP Vault Dedicated fattura per ora di cluster più per client attivo | Gratis durante l’accesso anticipato |
Dove Vault è più forte
- Segreti dinamici. Vault può creare su richiesta un utente del database per ogni servizio e revocarlo alla scadenza del lease, con un TTL predefinito di un’ora e un massimo di 24 ore. Crunu conserva valori; non li genera.
- Ampiezza. I motori PKI, Transit, SSH e per le credenziali cloud coprono molto più dei segreti statici. Crunu è volutamente più piccolo.
- Kubernetes. Vault fornisce un chart Helm, il Vault Secrets Operator, un provider CSI e un Agent Injector. Crunu non ha alcuna integrazione con Kubernetes.
- Funzioni per la scalabilità. Vault Enterprise aggiunge namespace, replica per prestazioni e per disaster recovery, sincronizzazione dei segreti, control group e policy Sentinel.
- Opzione gestita. HCP Vault Dedicated è Vault Enterprise gestito da HashiCorp su AWS o Azure. Il cloud di Crunu è nuovo, in accesso anticipato, e non ha pubblicato alcun audit esterno.
Cosa fa Crunu in modo diverso
Il server non può leggere i segreti. In Vault, proteggere il backend di storage non basta: il server, dopo l’unseal, possiede la chiave che decifra i dati conservati. Crunu toglie quella chiave dal server. Una copia completa del suo database non serve a indovinare le password, perché la chiave dell’account dipende anche da una Secret Key che il server non riceve mai. Elenchi di accesso e versioni sono firmati, quindi il server non può aggiungersi di nascosto come destinatario.
Meno da gestire. Un server Crunu self-hosted può girare su piattaforme serverless come Cloudflare Workers con D1, o Vercel con Postgres, oltre che su un singolo host Docker. Passa dall’una all’altra con un unico archivio che non contiene valori in chiaro.
Chi se ne va. Rimuovere un membro ruota le chiavi di ogni ambiente che poteva leggere. La procedura di rimozione dei membri elenca cosa ha ricevuto e quali valori riemettere presso i fornitori.
Restrizioni di rete con un ritardo. Una regola di rete dell’ambiente fornisce i contenuti solo alle reti consentite. Restringerla ha effetto immediato; allentarla richiede un’attesa di 15 minuti con un avviso, oppure una seconda firma. A farla rispettare è il server, non la crittografia, come spiega la pagina sulle limitazioni di Crunu.
Passare a Crunu
- Crea un account e salva il tuo Emergency Kit.
- Crea progetti e ambienti che rispecchino l’organizzazione dei tuoi percorsi in Vault.
- Su una macchina fidata, scrivi i valori statici che ti servono in file
.envo INI. - Trascina i file in ciascun ambiente, poi cancella le copie in chiaro.
- Registra i tuoi server come macchine con un codice di registrazione monouso e dai alle pipeline token di servizio con vincolo OIDC.
Credenziali dinamiche, PKI e Transit non hanno un equivalente in Crunu. Se dipendi da queste funzioni, tieni Vault per quei compiti.
Fonti
Ogni pagina su cui si basa questo confronto, con il giorno dell’ultima verifica.
- Vault: Architecture · verificata il 27 ottobre 2026
- Vault: What is Vault? · verificata il 27 ottobre 2026
- Vault: Secrets engines · verificata il 27 ottobre 2026
- Vault: Database secrets engine · verificata il 27 ottobre 2026
- Vault: KV v2 API · verificata il 27 ottobre 2026
- Vault: Policies · verificata il 27 ottobre 2026
- Vault: Tokens · verificata il 27 ottobre 2026
- Vault: JWT/OIDC auth method · verificata il 27 ottobre 2026
- GitHub Docs: OpenID Connect in HashiCorp Vault · verificata il 27 ottobre 2026
- Vault Agent · verificata il 27 ottobre 2026
- Vault on Kubernetes · verificata il 27 ottobre 2026
- Vault: Audit devices · verificata il 27 ottobre 2026
- Vault: Available editions · verificata il 27 ottobre 2026
- HCP Vault Dedicated overview · verificata il 27 ottobre 2026
- HCP pricing definitions · verificata il 27 ottobre 2026
- Vault license · verificata il 27 ottobre 2026
Domande su Crunu e HashiCorp Vault
Altre domande? Scrivi a support@crunu.com
Crunu sostituisce Vault?
Per i segreti statici di un team, può esserlo. Per credenziali dinamiche, certificati o cifratura come servizio, no. Crunu li lascia fuori di proposito, perché richiedono una chiave sul server.
Si può usare Vault senza fidarsi del server?
Vault considera non affidabile il suo backend di storage e cifra i dati prima che arrivino allo storage. Il server Vault, invece, decifra i dati dopo l’unseal, quindi al server in esecuzione viene affidato il testo in chiaro.
Con quale licenza è distribuito Vault?
Vault 1.15 e le versioni successive sono distribuiti con la Business Source License 1.1. Ogni versione passa a MPL 2.0 quattro anni dopo la pubblicazione.
Crunu funziona con Kubernetes?
No. Non ci sono un operator, un chart Helm o un provider CSI. Sulle macchine Linux, l’agente crunu gira come servizio systemd.