Secret management

Часть жизни бэкенд-разработчика — это работа с секретами. Ключи к сторонним сервисам, креды для баз, SSH-ключи для деплоя. Всё это нужно где-то безопасно хранить, иметь быстрый доступ «посмотреть, что там», и при этом приложение должно стабильно получать эти значения в рантайме. Расскажу про свой флоу — продолжение прошлого поста.

Когда я работал в крупных компаниях у нас почти везде стоял HashiCorp Vault. Он закрывал все задачи: удобная админка, интеграция с CI/CD, динамическое перечитывание конфигов без рестартов, шэринг секретов между коллегами — песня. Но для инди это дорого, а self-hosted — не мой путь.

Когда запускал текущий проект, про секрет-менеджер особо не думал — думал о продукте. На старте меня выручали GitHub Actions со встроенными секретами.

UX там, честно, отвратительный: один раз записал секрет — из UI уже не увидишь. Каждый апдейт — лезть в GitHub Mobile для подтверждения. В бесплатном тарифе ещё и нет разделения секретов по средам (stg/prod/dev). В общем, страдал.

После ресёрча нашёл для себя связку: GitHub Organization + Doppler. В организациях у репозиториев можно делить Actions по средам, и к каждой среде привязывать свои переменные. А Doppler — это почти как Vault по удобству UI: создаёшь проект → в нём среды → в каждой среде — секреты. И главное — каждую среду в Doppler можно автоматически синхронизировать с секретами GitHub.

По деньгам: Doppler бесплатен до 5 проектов, а GitHub Organization обходится мне в $4/месяц за пользователя (пользователь один — я).