Crunu vs enviar arquivos .env por chat e notas

A maioria das equipes começa do mesmo jeito. Alguém precisa da URL do banco de dados de staging, e outra pessoa da equipe cola o arquivo .env numa mensagem direta. Quem acabou de entrar recebe uma nota com as chaves da AWS. Uma pessoa terceirizada recebe a chave do Stripe num chat em grupo. Funciona, não custa nada e ninguém precisa aprender uma ferramenta nova.

O problema aparece depois. Os mesmos valores agora vivem no histórico do chat, na busca, nas exportações e nas notas de quem os copiou. Quando alguém sai, ninguém sabe dizer quem viu qual chave, e a única resposta segura é reemitir tudo. Esta página compara esse hábito com o Crunu de forma honesta, inclusive nos casos em que o hábito basta.

Para quem é cada abordagem

Chat e notas servem para quem desenvolve sozinho ou para duas pessoas num protótipo sem dados de produção, só com chaves de teste e nada a perder se um valor vazar. Também servem para uma passagem pontual em que o valor será reemitido logo em seguida.

O Crunu serve para qualquer equipe em que existam chaves de produção, pessoas entrem e saiam, máquinas e CI precisem dos mesmos valores e alguém um dia vá perguntar quem teve acesso a quê.

Lado a lado

Onde chat e notas são mais fortes

• Nenhuma configuração. A sua equipe já usa o app de chat. O Crunu exige uma conta e não tem apps para celular.
• Nada a mais para guardar. O Crunu acrescenta uma Secret Key e um Emergency Kit à sua senha, e o servidor dele não consegue redefinir a sua senha. Sem a senha, a Secret Key e o código de recuperação, ninguém consegue abrir a conta, nem o próprio Crunu.
• Rapidez para algo pontual. Para uma chave de teste que você vai jogar fora amanhã, uma mensagem direta é mais rápida do que qualquer cofre.

Por que é difícil desfazer o hábito

As cópias se multiplicam. Um arquivo colado vai parar no histórico de mensagens e na busca, e os chats na nuvem do Telegram podem ser lidos em qualquer um dos seus dispositivos. Nos planos pagos do Slack, mensagens e arquivos ficam guardados enquanto o workspace existir, a menos que um proprietário defina uma política de retenção. Uma nota sincronizada com a nuvem é mais uma cópia em mais um serviço.

As exportações vão além do chat. Os proprietários e administradores de um workspace do Slack podem exportar as mensagens dos canais públicos. Nos planos Business+ e Enterprise, exportações de canais privados e mensagens diretas ficam disponíveis mediante solicitação.

A criptografia protege o transporte, não o hábito. O Slack criptografa os dados em trânsito e em repouso, e o complemento Enterprise Key Management permite que clientes Enterprise usem as próprias chaves. Os chats na nuvem do Telegram ficam armazenados criptografados na nuvem dele; só os chats secretos são de ponta a ponta e ficam presos a um dispositivo. Nada disso limita quem, na conversa, pode ler e copiar o valor.

Sair não tem resposta limpa. As orientações da OWASP dizem que chaves expostas devem ser revogadas imediatamente e que segredos nunca devem estar ao alcance de todos. Quando sai da equipe alguém que estava no chat, a suposição segura é que todas as chaves ali estão expostas.

Como o Crunu lida com os mesmos momentos

• Alguém novo na equipe. Convide a pessoa e dê a ela um perfil de acesso, por exemplo Editor em development e staging, sem production.
• Pessoa terceirizada sem conta. Envie um link de compartilhamento para arquivos selecionados, com validade, limite de visualizações ou senha. A chave de descriptografia fica no link, depois do #, e nunca é enviada ao servidor. A prévia de um mensageiro não consome o link; ele só abre quando alguém clica em Open.
• Servidor ou pipeline. Registre o servidor como uma máquina ou crie um token de serviço vinculado por OIDC a um repositório e a um branch.
• Alguém sai. O fluxo de remoção de membros rotaciona as chaves dos ambientes, revoga os tokens e os links da pessoa e lista os valores a reemitir nos provedores.

O Crunu não consegue fazer ninguém esquecer um valor que já viu. Reemitir no provedor continua sendo a solução para isso, como explica a página de limitações.

Como migrar para o Crunu

1. Crie uma conta e guarde o seu Emergency Kit.
2. Crie um projeto por aplicação, com os ambientes development, staging e production.
3. Arraste os seus arquivos .env, ou pastas como .aws, para cada ambiente. O Crunu lê arquivos KEY=VALUE, seções INI, YAML plano e texto comum. Chaves pessoais como ~/.aws/credentials vão para o seu projeto pessoal.
4. Convide a equipe e defina as funções por ambiente.
5. Apague as mensagens e notas antigas que continham segredos, e reemita no provedor toda chave de produção que já tenha sido colada no chat.