Crunu vs Doppler voor teamsecrets

Doppler is een secretsmanager die als clouddienst wordt aangeboden, met een optie voor on-prem in het Enterprise-abonnement. Je bewaart variabelen per project en config, start je app met doppler run, en Doppler zet waarden door naar de platforms waarop je deployt, van AWS Secrets Manager tot Vercel. Crunu bestrijkt vergelijkbaar terrein voor projecten en omgevingen, maar rust op een ander uitgangspunt: de server bewaart alleen versleutelde data en heeft nooit een sleutel waarmee je waarden te ontsleutelen zijn.

Dat uitgangspunt heeft een prijs. Waarden doorzetten naar andere platforms en ze automatisch roteren vraagt om een dienst die met de waarden zelf kan werken. Doppler biedt beide. Crunu doet dat bewust niet. Deze pagina laat zien waar elke aanpak wint.

Voor wie welk product past

Doppler past bij teams die willen dat secrets met weinig instelwerk naar veel platforms stromen: secretopslag in de cloud, CI-systemen, hostingproviders en Kubernetes. Het past bij teams die automatische rotatie, change requests, SAML SSO en ondersteuning voor Windows willen, en die het prima vinden dat secrets bij de leverancier worden versleuteld in plaats van op hun eigen apparaten.

Crunu past bij teams die een kluis willen waarvan de server waarden niet kan lezen, ook niet als iemand binnendringt in de database of de hosting. Het past bij teams die secrets afleveren op hun eigen Linux-machines en CI-pipelines, precies willen vastleggen wat een vertrekkende persoon heeft ontvangen, en de server misschien zelf willen hosten.

Naast elkaar

Waar Doppler sterker is

• Integraties. Doppler noemt synchronisatiedoelen bij AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway en meer. Crunu heeft geen ingebouwde synchronisatie met welk cloud- of hostingplatform dan ook.
• Automatisering op waarden. Doppler roteert secrets automatisch in betaalde abonnementen en noemt dynamische secrets in Enterprise. Crunu roteert alleen zijn eigen versleutelingssleutels.
• Workflowfuncties. Met change requests kunnen mensen wijzigingen voorstellen in configs waarin ze zelf niet mogen schrijven. De goedkeuringsflow van Crunu dekt toegangsverzoeken, geen wijzigingen van waarden.
• Identiteit en platforms. SAML SSO in Team, SCIM in Enterprise en een CLI voor Windows. Crunu heeft geen SSO, geen SCIM en geen agent voor Windows.
• Zekerheid. Doppler zegt gecertificeerd te zijn voor SOC 2 en ISO 27001, laat minstens één keer per jaar penetratietests volgens de white-boxmethode uitvoeren en heeft een openbaar bugbountyprogramma. Crunu is in vroege toegang en publiceert geen SOC 2-rapport of externe audit.

Wat Crunu anders doet

De server is blind. Het ontwerp van Doppler houdt sleutels weg van systemen die aan internet hangen, maar de dienst ontvangt secrets nog steeds en versleutelt ze zelf. In Crunu worden waarden versleuteld voordat ze je apparaat verlaten, en alleen ontsleuteld op apparaten met een omgevingssleutel. Een volledige kopie van de database van Crunu helpt niemand wachtwoorden te raden, omdat de accountsleutel ook van de Secret Key afhangt.

Doppler past hetzelfde idee toe in één product: Doppler Share versleutelt op de client, zodat onversleutelde data de systemen van Doppler nooit bereikt, behalve bij secrets die via de Slack-app worden gedeeld. Crunu doet dit voor alles, ook voor deellinks voor mensen zonder account.

Vertrek laat een spoor na. Crunu legt vast welke versies van welke omgevingen elke persoon heeft ontvangen. Vertrekt iemand, dan roteert het offboardingproces de sleutels van elke omgeving die die persoon kon lezen, en noemt het de waarden om opnieuw uit te geven bij providers.

Eerlijke grenzen. De server ziet nog steeds metadata zoals projectnamen, e-mailadressen en tijdstempels. Netwerkbeperkingen worden door de server afgedwongen, niet door cryptografie. De pagina over beperkingen noemt de rest.

Overstappen op Crunu

1. Maak een account aan en bewaar je Emergency Kit.
2. Maak een project voor elk Doppler-project en een omgeving voor elke config die je gebruikt.
3. Schrijf op een vertrouwde machine de waarden van elke config in een .env-bestand.
4. Sleep de bestanden naar de bijbehorende omgevingen en verwijder daarna de onversleutelde kopieën.
5. Vervang doppler run door crunu run. Schrijf je servers in als machines en geef pipelines servicetokens met OIDC-binding.
6. Platforms waarnaar Doppler synchroniseerde, hebben een recept in CI of handmatige updates nodig, want Crunu heeft geen ingebouwde synchronisatie.