Acesso antecipadoEquipes, máquinas e CI
Compartilhe segredos com a sua equipe, não com o servidor.
Um só cofre para os arquivos .env, as chaves de API e as credenciais de nuvem da sua equipe. Os valores são criptografados nos seus dispositivos, e o servidor armazena apenas texto cifrado.
Veja como funcionaUm só cofre para todos os ambientes
Projetos reúnem ambientes, e cada ambiente tem a sua própria chave. Pessoas, máquinas e pipelines de CI recebem apenas os ambientes que lhes foram concedidos.
api-prod-1 · linux/amd64crunu enroll --server https://app.crunu.com -
crunu run --env payments-api/production \
-- node server.js- Registre a máquina com um código de uso único. Ele vale para um só uso; uma segunda tentativa gera um alerta.
- Aprove a máquina depois de comparar a impressão digital que o
crunu enrollexibe. - O agente mantém os ambientes descriptografados em memória e os entrega ao seu processo.
Configure em três passos
Comece em app.crunu.com com os arquivos .env que a sua equipe já tem. As pessoas só precisam de um navegador; o agente é para máquinas e CI.
1Crie um cofre
Crie um projeto e arraste os seus arquivos .env, ou pastas inteiras como .aws. O Crunu lê as variáveis e sugere onde cada arquivo fica no disco.
2Convide a sua equipe
Envie um link de convite e confira a impressão digital da chave com cada novo membro antes de conceder acesso. As funções são definidas por ambiente.
3Execute com crunu run
Registre uma máquina com um código de uso único, aprove-a depois de conferir a impressão digital e inicie o seu app com crunu run.
Pessoas, máquinas e CI — uma só fonte
A sua equipe abre os ambientes no navegador. Máquinas e jobs de CI os recebem pelo agente do Crunu. Os dois lados descriptografam o mesmo texto cifrado com a mesma criptografia, então ninguém precisa passar arquivos .env de mão em mão.
Cada máquina tem as próprias chaves
A chave de uma máquina não abre nada em outra. Revogue uma máquina, e as chaves dos ambientes que ela tinha são rotacionadas.
CI vinculado a um repositório
Vincule um token de serviço a um repositório e a um branch com OIDC. Um token vazado, sozinho, é recusado.
Funciona durante quedas
Se a rede cair, o agente continua entregando o último estado verificado até a concessão terminar, 24 horas por padrão.
Alguém sai. Cada chave que essa pessoa tinha é trocada.
Remover um membro é um único fluxo guiado. O servidor para de atender a pessoa no momento em que ela é removida.
Veja o que a pessoa recebeu
O relatório de exposição lista quais versões de quais ambientes a pessoa baixou, quando e de qual endereço.
Rotacione as chaves dela
O Crunu troca a chave de cada ambiente a que ela tinha acesso e revoga o que ela ainda poderia usar: tokens de serviço, links de compartilhamento, convites e códigos de registro.
Reemita no provedor
Um checklist indica cada valor a ser trocado no provedor, sem mostrar os valores.
O que foi visto continua visto
A rotação protege cada nova versão. Os valores que a pessoa já viu continuam válidos até você reemiti-los, e é para isso que serve o checklist.
O que se mantém mesmo com o servidor comprometido
Cada afirmação indica o mecanismo por trás dela, então nada depende de confiar em quem opera o servidor.
Um banco de dados roubado não revela valores
A chave da sua conta vem da sua senha e de uma Secret Key que nunca chega ao servidor; por isso, uma cópia completa do banco de dados não serve para adivinhar senhas.
O servidor não consegue se dar acesso
Quem pode ler um ambiente fica num documento assinado por um administrador, e cada versão é assinada pelo seu autor. Navegadores e agentes conferem as duas assinaturas.
Edições no log ficam visíveis
As entradas formam uma cadeia de hashes, então uma edição, exclusão ou inserção quebra a verificação. Exporte o log em JSONL para conferi-lo fora do Crunu.
Grátis durante o acesso antecipado
Todos os recursos estão incluídos enquanto o Crunu está em acesso antecipado. Estes são os limites atuais.
Tamanho do ambiente
Todos os arquivos de um ambiente somados.
1 MB
por ambiente
1.048.576 bytes- .env, INI e YAML plano, campo a campo
- Outros arquivos de texto, inteiros
Histórico de versões
Cada salvamento é uma nova versão.
100versões
por ambiente
até 64 MB de histórico- Autor e horário em cada versão
- Restaure uma versão antiga como nova
Acesso antecipadoAgora
Todos os recursos, na nossa nuvem em app.crunu.com.
Grátis
Nada a pagar
Criar conta grátis- App no navegador e agente do Crunu
- Máquinas e tokens de serviço para CI
- Solicitações de acesso e offboarding
- Log de auditoria e alertas
Projetos
Cada projeto reúne os seus ambientes.
500projetos
por organização
até 50 ambientes em cada- Cada ambiente tem a sua própria chave
- E a própria lista de acesso
Lista de acesso
Quem pode ler um ambiente.
5.000entradas
por ambiente
pessoas, máquinas, tokens- Editor, Reader, Specific files
- Operator para máquinas
Antes de migrar os seus segredos
O que as equipes costumam conferir antes de migrar os seus arquivos .env.
Outra dúvida? Escreva para support@crunu.com
O que o servidor consegue ver?
Um registro criptografado por versão de cada ambiente, além de chaves públicas e documentos assinados. Ele também vê metadados: os nomes de organizações, projetos, ambientes e máquinas, os e-mails dos membros, o log de auditoria e o tamanho e o horário de cada versão. Nomes e valores de variáveis existem apenas dentro do texto cifrado, e a sua senha e a sua Secret Key nunca são enviadas.
E se eu esquecer a senha ou perder a Secret Key?
Não existe redefinição de senha, porque o servidor não tem como fazer isso. O seu código de recuperação abre a conta depois de um período de espera, uma hora por padrão; o titular da conta é avisado, e um login normal cancela a tentativa. Um administrador também pode mover os seus ambientes pessoais para uma nova conta. Guarde em local seguro o Emergency Kit que você imprime ao criar a conta.
Quanto custa o Crunu?
O Crunu é grátis durante o acesso antecipado, com todos os recursos incluídos. Limites atuais: 1 MB por ambiente, as últimas 100 versões de histórico até 64 MB, 500 projetos por organização, 50 ambientes por projeto e 5.000 entradas na lista de acesso de um ambiente.
Posso hospedar o próprio servidor?
Sim. Ele roda em Docker numa máquina sua, no Cloudflare Workers, na Vercel, no Google Cloud Run ou no AWS App Runner, embora a AWS tenha fechado o App Runner para novos clientes. Um servidor auto-hospedado muda de plataforma com um único arquivo exportado, sem nenhum valor em texto puro. No Cloudflare, uma equipe precisa do plano Workers Paid.
Com quais sistemas de CI ele funciona?
GitHub Actions, GitLab CI e Bitbucket Pipelines, com vínculo OIDC ao repositório, ao branch e ao ambiente de deploy. Qualquer outro emissor OIDC funciona por meio de um provedor genérico. Um sistema de CI sem OIDC pode usar um token de serviço guardado nos segredos do próprio CI, junto com crunu run.
Quais sistemas operacionais o agente suporta?
Linux e macOS, em amd64 e arm64. No Linux, o agente pode rodar como um serviço do systemd que mantém os ambientes em memória. No macOS, ele funciona pela linha de comando, para pessoas e tokens de serviço. O Windows não é suportado. O app web precisa do Chrome 113, Safari 17, Firefox 129 ou mais recente.
Posso trazer segredos de outra ferramenta?
Arraste arquivos .env, arquivos INI como ~/.aws/credentials, YAML plano ou qualquer arquivo de texto, inclusive pastas inteiras como .aws, até 300 arquivos de uma vez. O Crunu lê as variáveis e sugere onde cada arquivo fica no disco. Não existe importação direta do 1Password, do HashiCorp Vault, do Doppler ou do Infisical.
Revogar uma máquina tem efeito imediato?
O servidor para de atendê-la na hora, e as chaves dos ambientes que ela tinha são rotacionadas. O agente apaga a cópia local em poucos minutos, enquanto a máquina estiver online, porque por padrão ele se comunica com o servidor a cada minuto. Uma máquina offline para quando a concessão termina, 24 horas por padrão. Um processo que já está rodando mantém as suas variáveis até ser reiniciado.
Tire os seus arquivos .env do chat
Crie a sua conta em app.crunu.com: confirme o seu e-mail, defina uma senha e guarde o Emergency Kit com a sua Secret Key.