Crunu vs Doppler para segredos de equipe

O Doppler é um gerenciador de segredos oferecido como serviço de nuvem, com uma opção on-prem no plano Enterprise. Você guarda variáveis por projeto e config, roda o app com doppler run, e o Doppler envia os valores para as plataformas onde você faz deploy, do AWS Secrets Manager à Vercel. O Crunu cobre um terreno parecido com projetos e ambientes, mas parte de outra premissa: o servidor armazena apenas texto cifrado e nunca tem uma chave capaz de descriptografar os seus valores.

Essa premissa tem um custo. Enviar valores para outras plataformas e rotacioná-los automaticamente exige um serviço que consiga trabalhar com os próprios valores. O Doppler oferece as duas coisas. O Crunu não, por design. Esta página mostra onde cada abordagem leva vantagem.

Para quem é cada um

O Doppler atende equipes que querem que os segredos cheguem a muitas plataformas com pouca configuração: cofres de segredos de nuvem, sistemas de CI, provedores de hospedagem e Kubernetes. Atende equipes que querem rotação automática, solicitações de mudança, SSO via SAML e suporte a Windows, e que aceitam que os segredos sejam criptografados do lado do fornecedor, e não nos próprios dispositivos.

O Crunu atende equipes que querem um cofre cujo servidor não consegue ler os valores, mesmo que o banco de dados ou a hospedagem dele sejam invadidos. Atende equipes que entregam segredos às próprias máquinas Linux e aos próprios pipelines de CI, que querem um registro preciso do que recebeu quem está saindo e que talvez queiram hospedar o servidor por conta própria.

Lado a lado

Onde o Doppler é mais forte

• Integrações. O Doppler lista destinos de sincronização na AWS, no GCP, no Azure, no GitHub, no GitLab, no Bitbucket Pipelines, na Vercel, na Netlify, no Render, no Railway e em outros. O Crunu não tem sincronização integrada com nenhuma plataforma de nuvem ou de hospedagem.
• Automação sobre os valores. O Doppler rotaciona segredos automaticamente nos planos pagos e lista segredos dinâmicos no Enterprise. O Crunu só rotaciona as próprias chaves de criptografia.
• Fluxos de trabalho. As solicitações de mudança permitem que as pessoas proponham edições em configs que não podem alterar. O fluxo de aprovação do Crunu cobre solicitações de acesso, não edições de valores.
• Identidade e plataformas. SSO via SAML no Team, SCIM no Enterprise e uma CLI para Windows. O Crunu não tem SSO, nem SCIM, nem agente para Windows.
• Comprovação externa. O Doppler diz ter certificações SOC 2 e ISO 27001, faz testes de intrusão white box pelo menos uma vez por ano e mantém um programa público de bug bounty. O Crunu está em acesso antecipado e não publica relatório SOC 2 nem auditoria externa.

O que o Crunu faz de diferente

O servidor é cego. O design do Doppler mantém as chaves longe dos sistemas expostos à internet, mas o serviço ainda recebe os segredos e os criptografa do lado dele. No Crunu, os valores são criptografados antes de sair do seu dispositivo e descriptografados apenas nos dispositivos que têm a chave do ambiente. Uma cópia completa do banco de dados do Crunu não ajuda ninguém a adivinhar senhas, porque a chave da conta também depende da Secret Key.

O Doppler aplica a mesma ideia em um produto: o Doppler Share criptografa no cliente, e o texto puro nunca chega aos sistemas do Doppler, exceto nos segredos compartilhados pelo app dele para o Slack. O Crunu faz isso com tudo, inclusive com os links de compartilhamento para pessoas sem conta.

Saídas deixam rastro. O Crunu registra quais versões de quais ambientes cada pessoa recebeu. Quando alguém sai, o fluxo de remoção de membros rotaciona as chaves de todos os ambientes que a pessoa podia ler e lista os valores a reemitir nos provedores.

Limites ditos com franqueza. O servidor ainda vê metadados, como nomes de projetos, endereços de e-mail e horários. As restrições de rede são impostas pelo servidor, não pela criptografia. A página de limitações lista o resto.

Como migrar para o Crunu

1. Crie uma conta e guarde o seu Emergency Kit.
2. Crie um projeto para cada projeto do Doppler e um ambiente para cada config que você usa.
3. Numa máquina confiável, grave os valores de cada config num arquivo .env.
4. Arraste os arquivos para os ambientes correspondentes e depois apague as cópias em texto puro.
5. Troque doppler run por crunu run. Registre os seus servidores como máquinas e dê aos pipelines tokens de serviço com vínculo OIDC.
6. As plataformas que o Doppler sincronizava vão precisar de uma receita no CI ou de atualizações manuais, já que o Crunu não tem sincronização integrada.