Crunu vs Infisical per i segreti del team
Crunu e Infisical a confronto: cifratura lato server o locale, open source e self-hosting, sincronizzazioni, segreti dinamici, ruoli, identità CI e prezzi.
Il confronto nel dettaglio
In questa pagina
Infisical è una piattaforma open source per i segreti, con un cloud ospitato e un’opzione self-hosted. Copre la gestione dei segreti, i segreti dinamici, la rotazione, la sincronizzazione con altre piattaforme, un operator per Kubernetes, SDK in molti linguaggi e prodotti separati per i certificati e gli accessi privilegiati. Crunu è più piccolo e alla base fa una scelta diversa: il server non possiede mai una chiave in grado di decifrare i tuoi valori.
Se stai scegliendo tra i due, la domanda riguarda soprattutto quale compromesso preferisci. Il server di Infisical decifra i segreti per fornirli, e su questa base Infisical offre sincronizzazioni, rotazione e credenziali generate. Il server di Crunu non può leggere i valori, e questo esclude quelle funzionalità.
A chi conviene ciascuno
Infisical conviene ai team che vogliono una piattaforma open source e ospitabile in proprio, con un’ampia automazione: sincronizzazione dei segreti, credenziali dinamiche, rotazione, workflow di approvazione, accesso temporaneo, Kubernetes e SDK. Conviene alle aziende che hanno bisogno oggi di un vendor conforme a SOC 2 e che accettano, come parte del design, un server in grado di decifrare i segreti.
Crunu conviene ai team che vogliono un vault il cui server non possa leggere i valori se il suo host o il suo database vengono compromessi. Conviene ai team che consegnano segreti statici a macchine Linux e pipeline CI, vogliono un registro firmato di chi può leggere ogni ambiente e un report preciso di ciò che ha ricevuto chi lascia il team.
Confronto diretto
| Infisical | Crunu | |
|---|---|---|
| Dove vengono decifrati i segreti | Sul server Infisical, che decifra i dati conservati prima di rispondere a un client | Solo nel browser e nell’agente crunu. Il server conserva testo cifrato e documenti firmati. |
| Gerarchia delle chiavi | AES-256-GCM con una chiave radice impostata da chi gestisce l’istanza, chiavi dei dati per organizzazione e per progetto, KMS esterno facoltativo | Una chiave per ambiente, sigillata separatamente con la chiave pubblica di ciascun destinatario |
| Codice sorgente | Core con licenza MIT, codice enterprise in ee/ con una licenza separata | Non pubblicato al momento |
| Hosting | Infisical Cloud nelle regioni USA e UE, o self-hosted con Docker, Docker Compose, Helm, un pacchetto Linux, AWS o GCP | Cloud di Crunu su app.crunu.com, o un tuo server su Docker, Cloudflare Workers, Vercel o Google Cloud Run |
| Sincronizzazione con altre piattaforme | Sincronizzazione dei segreti verso piattaforme come GitHub, Vercel, AWS e Kubernetes | Non integrata |
| Segreti dinamici e rotazione | Segreti dinamici dal piano Advanced. Rotazione dei segreti dal piano Pro. | No. Crunu ruota le sue chiavi di cifratura; i valori si riemettono presso i fornitori partendo da una checklist. |
| Accesso temporaneo | Concessioni di accesso temporaneo dal piano Advanced | Nessuna scadenza per le persone negli elenchi di accesso degli ambienti |
| Identità CI | OIDC Auth con controlli su subject, audience e claim; IP attendibili per access token | Token di servizio con vincolo OIDC facoltativo a repository, branch e ambiente di deployment |
| Kubernetes | Operator installato con Helm, con ricaricamento del deployment a ogni modifica | Non disponibile |
| Cronologia | Modifiche versionate con ripristino point-in-time, una funzione a pagamento | 100 versioni per ambiente, con confronto e ripristino |
| Conservazione dell’audit | Nessuna su Free, 30 giorni su Pro, 90 giorni su Advanced, personalizzata su Enterprise | 365 giorni per impostazione predefinita, estendibile, con catena di hash |
| Modello di prezzo | Per identità al mese, umana o macchina, con un livello gratuito di 5 identità. Prova gratuita nei piani a pagamento. | Gratis durante l’accesso anticipato |
Dove Infisical è più forte
- Open source. Il core di Infisical ha licenza MIT, e la sua documentazione copre il self-hosting con Docker, Kubernetes, un pacchetto Linux, AWS e GCP. Il codice sorgente di Crunu non è pubblicato.
- Automazione. Sincronizzazione dei segreti, segreti dinamici, rotazione programmata e workflow di approvazione sono tutti disponibili, a seconda del piano. Crunu non ha nessuna di queste funzioni.
- Ecosistema. Infisical fornisce un operator per Kubernetes, un provider Terraform e SDK per nove linguaggi, tra cui Node.js, Python, Go e Java. Crunu offre
crunu runecrunu pull, senza SDK e senza supporto per Kubernetes. - Accesso temporaneo. Infisical offre concessioni di accesso temporaneo dal piano Advanced in su. In Crunu scadono solo inviti, link di condivisione, token di servizio, lease delle macchine e accessi break-glass.
- Verifiche esterne. Infisical si descrive come conforme a SOC 2, HIPAA e FIPS 140-3 ed esegue penetration test due volte all’anno. Crunu è in accesso anticipato e non pubblica un report SOC 2 né un audit esterno.
Cosa fa Crunu in modo diverso
Il server è cieco per progettazione. Grazie alle chiavi a più livelli di Infisical, un database rubato, da solo, non basta a decifrare i dati. Il server in esecuzione, però, riceve la chiave radice da chi lo gestisce e decifra i dati richiesti prima di rispondere. Crunu non ha una chiave del genere sul server. I valori vengono sigillati sui tuoi dispositivi con le chiavi pubbliche delle persone e delle macchine autorizzate a leggerli.
Accesso firmato. L’elenco di chi può leggere un ambiente è un documento firmato da un amministratore, e ogni versione è firmata dal suo autore. Client e agenti verificano quelle firme e rifiutano gli stati precedenti, così un server compromesso non può aggiungersi di nascosto come lettore.
Un’uscita cambia le chiavi. Rimuovere un membro ruota le chiavi di ogni ambiente che poteva leggere. La procedura di rimozione dei membri mostra quali versioni ha ricevuto ed elenca i valori da riemettere presso i fornitori.
Cosa Crunu non può proteggere. Il server vede comunque metadati come nomi, indirizzi email e timestamp, e un client web fornito da un server compromesso è il principale rischio residuo. La pagina sulle limitazioni di Crunu tratta questo punto e il file locale crunu.html che riduce il rischio.
Passare a Crunu
- Crea un account e salva il tuo Emergency Kit.
- Crea un progetto per ogni progetto Infisical e un ambiente per ogni ambiente che usi.
- Su una macchina fidata, scrivi i valori che ti servono in file
.env. - Trascina i file negli ambienti corrispondenti, poi cancella le copie in chiaro.
- Sostituisci
infisical runconcrunu run, registra i tuoi server come macchine e dai alle pipeline token di servizio con vincolo OIDC.
Segreti dinamici, sincronizzazioni e consegna su Kubernetes non hanno un equivalente in Crunu. Tieni Infisical per questi compiti, oppure prevedi un altro approccio.
Fonti
Ogni pagina su cui si basa questo confronto, con il giorno dell’ultima verifica.
- Infisical security internals · verificata il 27 ottobre 2026
- Infisical home page · verificata il 27 ottobre 2026
- Infisical pricing · verificata il 27 ottobre 2026
- Infisical license · verificata il 27 ottobre 2026
- Infisical self-hosting overview · verificata il 27 ottobre 2026
- Infisical secrets management · verificata il 27 ottobre 2026
- Infisical OIDC Auth for machine identities · verificata il 27 ottobre 2026
- Infisical Kubernetes Operator · verificata il 27 ottobre 2026
- Infisical point-in-time recovery · verificata il 27 ottobre 2026
- Infisical CLI: run · verificata il 27 ottobre 2026
Domande su Crunu e Infisical
Altre domande? Scrivi a support@crunu.com
Infisical cifra end-to-end?
La documentazione sulla sicurezza di Infisical descrive una cifratura lato server: il server decifra i dati richiesti prima di rispondere. Per Infisical Cloud, la stessa pagina descrive controlli basati su policy sull’accesso dei dipendenti ai dati dei clienti. È una promessa di policy e di controllo degli accessi, non una cifratura sul dispositivo.
Posso ospitare in proprio entrambi?
Sì. Infisical documenta deployment con Docker, Docker Compose, Helm, un pacchetto Linux, AWS e GCP. Il server di Crunu gira sulla tua infrastruttura con Docker, Cloudflare Workers, Vercel o Google Cloud Run.
Quale dei due costa meno?
Crunu è gratis durante l’accesso anticipato. Il core di Infisical ha licenza MIT, e il suo cloud ha un livello gratuito più piani con prezzo per identità. Controlla entrambe le pagine dei prezzi per le condizioni attuali.
Crunu può generare credenziali per i database?
No. Generare credenziali su richiesta richiede una chiave sul server, cosa che il design di Crunu non consente.