Crunu vs Doppler: przechowywanie sekretów zespołu
Crunu i Doppler: gdzie szyfrowane są sekrety, hosting, synchronizacja, rotacja, tożsamość CI, role i model cenowy – sprawdzone w dokumentacji Dopplera.
Porównanie w szczegółach
Na tej stronie
Doppler to menedżer sekretów oferowany jako usługa w chmurze, z opcją on-prem w planie Enterprise. Zmienne trzymasz w podziale na projekty i konfiguracje (configs), aplikację uruchamiasz przez doppler run, a Doppler wysyła wartości na platformy, na które wdrażasz – od AWS Secrets Manager po Vercel. Crunu obejmuje podobny obszar dla projektów i środowisk, ale wychodzi z innego założenia: serwer przechowuje tylko zaszyfrowane dane i nigdy nie ma klucza, który mógłby odszyfrować twoje wartości.
To założenie ma swoją cenę. Wysyłanie wartości na inne platformy i ich automatyczna rotacja wymagają usługi, która może pracować na samych wartościach. Doppler oferuje jedno i drugie. Crunu celowo nie. Ta strona pokazuje, gdzie wygrywa każde z podejść.
Dla kogo jest które narzędzie
Doppler pasuje zespołom, które chcą, żeby sekrety trafiały na wiele platform przy niewielkiej konfiguracji: do magazynów sekretów w chmurze, systemów CI, dostawców hostingu i Kubernetesa. Pasuje zespołom, które chcą automatycznej rotacji, wniosków o zmiany (change requests), SAML SSO i obsługi Windows, i którym nie przeszkadza, że sekrety są szyfrowane po stronie dostawcy, a nie na ich własnych urządzeniach.
Crunu pasuje zespołom, które chcą sejfu z serwerem niezdolnym do odczytania wartości, nawet jeśli jego baza danych lub hosting zostaną przejęte. Pasuje zespołom, które dostarczają sekrety na własne maszyny z Linuksem i do potoków CI, chcą dokładnego zapisu tego, co otrzymała odchodząca osoba, i być może chcą samodzielnie hostować serwer.
Porównanie punkt po punkcie
| Doppler | Crunu | |
|---|---|---|
| Gdzie sekrety są szyfrowane | Po stronie Dopplera. Serwery WWW wysyłają sekrety do usługi tokenizacji, która szyfruje je kluczem AES-GCM osobnym dla każdego obszaru roboczego (workplace). | Na twoich urządzeniach, w przeglądarce i w agencie crunu. Serwer przechowuje zaszyfrowane dane i podpisane dokumenty. |
| Ochrona kluczy | Klucze obszarów roboczych są szyfrowane kluczem chronionym przez HSM w GCP KMS. Enterprise Key Management dodaje twój własny klucz z KMS w chmurze. | Klucz konta wyprowadzany z hasła i Secret Key, który nigdy nie jest wysyłany przez sieć |
| Hosting | Usługa chmurowa Dopplera albo Doppler On-prem w planie Enterprise | Chmura Crunu na app.crunu.com albo własny serwer w Dockerze, na Cloudflare Workers, Vercel lub Google Cloud Run |
| Synchronizacja z innymi platformami | Wbudowana dla magazynów sekretów AWS, GCP i Azure, GitHub, GitLab, Vercel, Netlify, Heroku i innych | Brak wbudowanej. CI może wysyłać wartości przez crunu run według przepisu. |
| Rotacja wartości | Automatyczna rotacja sekretów w planach Team i Enterprise | Wymienia klucze szyfrowania. Wartości generuje się ponownie u dostawców ręcznie, według listy kontrolnej. |
| Role dostępu | Viewer, Collaborator i Admin dla projektu, z dostępem do poszczególnych środowisk w planach Team i Enterprise | Editor, Reader, Specific files i Operator dla środowiska oraz profile dostępu |
| Tożsamość CI | Tożsamości kont usług OIDC w planach Team i Enterprise, z wymaganymi claimami audience i subject | Tokeny usługowe z opcjonalnym powiązaniem OIDC z repozytorium, gałęzią i środowiskiem wdrożenia |
| Ograniczenia IP | Zaufane adresy IP dla konfiguracji w planach Team i Enterprise. Nie obejmują logowania do panelu. | Reguła sieciowa środowiska wydaje dane tylko dozwolonym sieciom. Złagodzenie reguły czeka 15 minut albo wymaga drugiego podpisu. |
| Platformy CLI | macOS, Linux i Windows. doppler run może awaryjnie użyć zaszyfrowanej kopii lokalnej. | Linux i macOS. Bez sieci agent wydaje ostatni zweryfikowany stan do końca dzierżawy, domyślnie 24 godziny. |
| Kubernetes | Doppler Kubernetes Operator z przeładowaniem wdrożenia po zmianie | Niedostępne |
| Historia aktywności | 3 dni w planie Developer, 90 dni w Team, indywidualnie w Enterprise | Dziennik audytu w łańcuchu skrótów, domyślnie 365 dni, z możliwością wydłużenia |
| Model cenowy | Za darmo dla 3 użytkowników, potem za użytkownika; Team za użytkownika z 14-dniowym okresem próbnym, Enterprise indywidualnie. Tożsamości nieludzkie nie są rozliczane. | Bezpłatnie we wczesnym dostępie |
W czym Doppler jest mocniejszy
- Integracje. Doppler podaje cele synchronizacji w AWS, GCP, Azure, GitHub, GitLab, Bitbucket Pipelines, Vercel, Netlify, Render, Railway i innych. Crunu nie ma wbudowanej synchronizacji z żadną chmurą ani platformą hostingową.
- Automatyzacja na wartościach. Doppler w płatnych planach automatycznie przeprowadza rotację sekretów, a w planie Enterprise ma w ofercie sekrety dynamiczne. Crunu wymienia tylko własne klucze szyfrowania.
- Funkcje przepływu pracy. Wnioski o zmiany (change requests) pozwalają proponować edycje konfiguracji, do których ktoś nie ma prawa zapisu. Zatwierdzanie w Crunu obejmuje prośby o dostęp, a nie edycje wartości.
- Tożsamość i platformy. SAML SSO w Team, SCIM w Enterprise i CLI na Windows. Crunu nie ma SSO, SCIM ani agenta na Windows.
- Potwierdzenia bezpieczeństwa. Doppler podaje, że ma certyfikaty SOC 2 i ISO 27001, co najmniej raz w roku przechodzi testy penetracyjne metodą white box i prowadzi publiczny program bug bounty. Crunu jest we wczesnym dostępie i nie publikuje raportu SOC 2 ani zewnętrznego audytu.
Co Crunu robi inaczej
Serwer nie widzi wartości. Projekt Dopplera trzyma klucze z dala od systemów wystawionych do internetu, ale jego usługa i tak otrzymuje sekrety i szyfruje je po swojej stronie. W Crunu wartości są szyfrowane, zanim opuszczą twoje urządzenie, i odszyfrowywane tylko na urządzeniach, które mają klucz środowiska. Pełna kopia bazy danych Crunu nie pomoże nikomu w odgadywaniu haseł, bo klucz konta zależy też od Secret Key.
Doppler stosuje tę samą ideę w jednym produkcie: Doppler Share szyfruje po stronie klienta, więc jawne dane nigdy nie trafiają do jego systemów – z wyjątkiem sekretów udostępnianych przez jego aplikację dla Slacka. Crunu robi tak ze wszystkim, także z linkami dostępu dla osób bez konta.
Odejścia zostawiają ślad. Crunu zapisuje, które wersje których środowisk otrzymała każda osoba. Gdy ktoś odchodzi, proces usuwania członka zespołu wymienia klucze każdego środowiska, które ta osoba mogła odczytać, i podaje listę wartości do ponownego wygenerowania u dostawców.
Uczciwe granice. Serwer nadal widzi metadane, takie jak nazwy projektów, adresy e-mail i znaczniki czasu. Ograniczenia sieciowe egzekwuje serwer, a nie kryptografia. Resztę opisuje strona o ograniczeniach.
Przejście na Crunu
- Załóż konto i zapisz Emergency Kit.
- Utwórz projekt dla każdego projektu w Dopplerze i środowisko dla każdej używanej konfiguracji.
- Na zaufanej maszynie zapisz wartości każdej konfiguracji w pliku
.env. - Przeciągnij pliki do odpowiednich środowisk, a potem usuń jawne kopie.
- Zastąp
doppler runpoleceniemcrunu run. Zarejestruj serwery jako maszyny i daj potokom tokeny usługowe z powiązaniem OIDC. - Platformy, do których synchronizował Doppler, wymagają przepisu w CI albo ręcznych aktualizacji, bo Crunu nie ma wbudowanej synchronizacji.
Źródła
Wszystkie strony, na których opiera się to porównanie, i dzień, w którym ostatnio je sprawdziliśmy.
- Doppler security fact sheet · sprawdzono 27 października 2026
- Doppler security · sprawdzono 27 października 2026
- Doppler pricing · sprawdzono 27 października 2026
- Doppler On-prem · sprawdzono 27 października 2026
- Doppler integrations · sprawdzono 27 października 2026
- Doppler secrets rotation · sprawdzono 27 października 2026
- Doppler secrets manager · sprawdzono 27 października 2026
- Doppler project permissions · sprawdzono 27 października 2026
- Doppler service account identities · sprawdzono 27 października 2026
- Doppler trusted IPs · sprawdzono 27 października 2026
- Doppler CLI installation · sprawdzono 27 października 2026
- Doppler secret fallback files · sprawdzono 27 października 2026
- Doppler Kubernetes Operator · sprawdzono 27 października 2026
- Doppler Share security · sprawdzono 27 października 2026
Pytania o Crunu i Doppler
Masz inne pytanie? Napisz na support@crunu.com
Gdzie Doppler szyfruje moje sekrety?
Karta bezpieczeństwa Dopplera podaje, że jego serwery WWW wysyłają sekrety do wewnętrznej usługi tokenizacji, która szyfruje je kluczem twojego obszaru roboczego. Szyfrowanie odbywa się w infrastrukturze Dopplera, a nie na twoim urządzeniu. Serwer Crunu nigdy nie otrzymuje wartości w postaci jawnej.
Czy Dopplera można hostować samodzielnie?
Doppler oferuje On-prem organizacjom, które muszą go uruchamiać we własnej infrastrukturze, i umieszcza tę opcję w planie Enterprise. Serwer Crunu można hostować samodzielnie w Dockerze, na Cloudflare Workers, Vercel lub Google Cloud Run.
Czy Crunu synchronizuje się z Vercel lub AWS?
Nie natywnie. Możesz uruchomić w CI krok, który wysyła wartości przez crunu run, ale nie ma wbudowanej integracji, która utrzymywałaby platformę w synchronizacji.
Czy Crunu jest tańsze?
Crunu jest bezpłatne we wczesnym dostępie. Plan Developer Dopplera jest bezpłatny dla 3 użytkowników, z opłatą za każdego kolejnego, a plan Team jest wyceniany za użytkownika. Aktualne warunki porównaj w cennikach obu produktów.