Vroege toegangTeams, machines en CI
Deel secrets met je team, niet met de server.
Eén kluis voor de .env-bestanden, API-sleutels en cloudsleutels van je team. Waarden worden op je apparaten versleuteld; de server bewaart alleen versleutelde data.
Bekijk hoe het werktEén kluis voor elke omgeving
Projecten bevatten omgevingen, en elke omgeving heeft een eigen sleutel. Mensen, machines en CI-pipelines krijgen alleen de omgevingen waartoe ze toegang hebben gekregen.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Schrijf de machine in met een eenmalige code. Na het eerste gebruik is die ongeldig; een tweede poging geeft een waarschuwing.
- Keur de machine goed nadat je de vingerafdruk hebt vergeleken die
crunu enrolltoont. - De agent houdt ontsleutelde omgevingen in het geheugen en geeft ze door aan je proces.
Opzetten in drie stappen
Begin op app.crunu.com met de .env-bestanden die je team al heeft. Mensen hebben alleen een browser nodig; de agent is voor machines en CI.
1Maak een kluis aan
Maak een project aan en sleep je .env-bestanden erin, of hele mappen zoals .aws. Crunu leest de variabelen en stelt per bestand voor waar het op de computer hoort.
2Nodig je team uit
Stuur een uitnodigingslink en vergelijk met elk nieuw lid de vingerafdruk van een sleutel voordat je toegang geeft. Rollen stel je per omgeving in.
3Start met crunu run
Schrijf een machine in met een eenmalige code, keur die goed na de controle van de vingerafdruk en start je app met crunu run.
Mensen, machines en CI – één bron
Je team opent omgevingen in de browser. Machines en CI-jobs krijgen ze via de Crunu-agent. Beide ontsleutelen dezelfde versleutelde data met dezelfde cryptografie, dus niemand stuurt nog .env-bestanden rond.
Elke machine heeft eigen sleutels
Een sleutel op de ene machine opent niets op een andere. Trek je een machine in, dan worden de omgevingssleutels die de machine had geroteerd.
CI gebonden aan een repository
Bind een servicetoken met OIDC aan één repository en branch. Een uitgelekt token alleen is niet genoeg: de server weigert het.
Werkt door bij een storing
Valt het netwerk weg, dan levert de agent de laatst geverifieerde staat tot de lease afloopt, standaard na 24 uur.
Iemand vertrekt. Elke sleutel van die persoon wordt vervangen.
Een lid verwijderen is één begeleid proces. Vanaf het moment van verwijderen levert de server niets meer aan die persoon.
Zie wat iemand heeft ontvangen
Het blootstellingsrapport toont welke versies van welke omgevingen de persoon heeft opgehaald, wanneer en vanaf welk adres.
Roteer de sleutels
Crunu vervangt de sleutel van elke omgeving waartoe de persoon toegang had, en trekt in wat nog bruikbaar was: servicetokens, deellinks, uitnodigingen en inschrijfcodes.
Opnieuw uitgeven bij de provider
Een checklist noemt elke waarde die je bij de provider moet vervangen, zonder de waarden te tonen.
Gezien is gezien
Rotatie beschermt elke nieuwe versie. Waarden die de persoon al heeft gezien, blijven geldig tot je ze opnieuw uitgeeft. Daar is de checklist voor.
Wat standhoudt, ook als de server wordt overgenomen
Bij elke bewering staat het mechanisme erachter, zodat je niet hoeft te vertrouwen op wie de server beheert.
Een gestolen database geeft geen waarden prijs
Je accountsleutel wordt afgeleid van je wachtwoord en een Secret Key die de server nooit bereikt. Een volledige kopie van de database helpt dus niet bij het raden.
De server kan zichzelf geen toegang geven
Wie een omgeving mag lezen, staat in een document dat een admin heeft ondertekend, en elke versie is ondertekend door de auteur. Browsers en agents controleren beide.
Wijzigingen in de auditlog vallen op
De logregels vormen een hashketen, dus een wijziging, verwijdering of invoeging laat de verificatie mislukken. Exporteer de log als JSONL om die buiten Crunu te controleren.
Gratis tijdens de vroege toegang
Zolang Crunu in vroege toegang is, zit elke functie erbij. Dit zijn de huidige limieten.
Omgevingsgrootte
Alle bestanden van één omgeving samen.
1 MB
per omgeving
1.048.576 bytes- .env, INI en platte YAML per veld
- Elk ander tekstbestand in zijn geheel
Versiegeschiedenis
Opslaan maakt altijd een nieuwe versie.
100versies
per omgeving
geschiedenis tot 64 MB- Auteur en tijdstip bij elke versie
- Zet een oude versie terug als nieuwe
Vroege toegangNu
Alle functies, in onze cloud op app.crunu.com.
Gratis
Niets te betalen
Gratis account aanmaken- Browserapp en Crunu-agent
- Machines en CI-servicetokens
- Toegangsverzoeken en offboarding
- Auditlog en waarschuwingen
Projecten
Elk project bevat zijn eigen omgevingen.
500projecten
per organisatie
elk tot 50 omgevingen- Elke omgeving heeft een eigen sleutel
- En een eigen toegangslijst
Toegangslijst
Wie één omgeving kan lezen.
5.000vermeldingen
per omgeving
mensen, machines, tokens- Editor, Reader, Specific files
- Operator voor machines
Voordat je je secrets verhuist
Wat teams meestal nagaan voordat ze hun .env-bestanden verhuizen.
Iets anders? Mail naar support@crunu.com
Wat kan de server zien?
Eén versleuteld record per versie van elke omgeving, plus publieke sleutels en ondertekende documenten. Daarnaast ziet de server metadata: de namen van organisaties, projecten, omgevingen en machines, de e-mailadressen van leden, de auditlog en de grootte en het tijdstip van elke versie. Namen en waarden van variabelen bestaan alleen in de versleutelde data, en je wachtwoord en Secret Key worden helemaal nooit verstuurd.
Wat als ik mijn wachtwoord vergeet of mijn Secret Key kwijtraak?
Je wachtwoord resetten kan niet, omdat de server dat niet kan. Je herstelcode opent het account na een wachttijd, standaard één uur; de accounthouder krijgt een melding, en gewoon inloggen breekt de poging af. Een admin kan ook je persoonlijke omgevingen naar een nieuw account verplaatsen. Bewaar de Emergency Kit, die je afdrukt als je je account aanmaakt, op een veilige plek.
Wat kost Crunu?
Crunu is gratis tijdens de vroege toegang, met alle functies. Huidige limieten: 1 MB per omgeving, de laatste 100 versies aan geschiedenis tot 64 MB, 500 projecten per organisatie, 50 omgevingen per project en 5.000 vermeldingen in de toegangslijst van een omgeving.
Kan ik de server zelf draaien?
Ja. Hij draait in Docker op een eigen machine, op Cloudflare Workers, Vercel, Google Cloud Run of AWS App Runner, al heeft AWS App Runner gesloten voor nieuwe klanten. Een zelfgehoste server verhuist tussen platforms met één archief zonder onversleutelde waarden. Op Cloudflare heeft een team het Workers Paid-abonnement nodig.
Met welke CI-systemen werkt het?
GitHub Actions, GitLab CI en Bitbucket Pipelines, met OIDC-binding aan de repository, de branch en de deployment-omgeving. Elke andere OIDC-issuer werkt via een generieke provider. Een CI-systeem zonder OIDC kan een servicetoken gebruiken dat in de eigen secrets van dat systeem staat, samen met crunu run.
Welke besturingssystemen ondersteunt de agent?
Linux en macOS, op amd64 en arm64. Op Linux kan de agent draaien als systemd-service die omgevingen in het geheugen houdt. Op macOS werkt hij vanaf de opdrachtregel, voor mensen en servicetokens. Windows wordt niet ondersteund. De webapp vereist Chrome 113, Safari 17, Firefox 129 of nieuwer.
Kan ik secrets uit een andere tool overzetten?
Sleep .env-bestanden, INI-bestanden zoals ~/.aws/credentials, platte YAML of elk ander tekstbestand erin, ook hele mappen zoals .aws, tot 300 bestanden tegelijk. Crunu leest de variabelen en stelt per bestand voor waar het op de schijf hoort. Rechtstreeks importeren uit 1Password, HashiCorp Vault, Doppler of Infisical kan niet.
Werkt het intrekken van een machine meteen?
De server levert er direct niets meer aan, en de sleutels van de omgevingen die de machine had, worden geroteerd. Zolang de machine online is, wist de agent zijn kopie binnen enkele minuten, omdat hij standaard elke minuut contact maakt met de server. Een offline machine stopt wanneer de lease afloopt, standaard na 24 uur. Een proces dat al draait, houdt zijn variabelen tot het opnieuw start.
Haal je .env-bestanden uit de chat
Maak je account aan op app.crunu.com: bevestig je e-mailadres, kies een wachtwoord en bewaar de Emergency Kit met je Secret Key.