git-secret — зашифрованные секреты прямо в git-репозитории

★ 4.1K

git-secret — это открытый bash-инструмент, который хранит конфиденциальные файлы прямо в git-репозитории в зашифрованном виде. Его берут, когда ключи API, пароли и файлы конфигурации нужно держать рядом с кодом, но не в открытом виде; когда доступ к секретам должен быть только у узкого круга коллег; или когда сотрудник уходит из команды и его доступ нужно быстро отозвать. Файлы шифруются открытыми ключами разрешённых пользователей через GPG, а расшифровать их может только владелец соответствующего секретного ключа. Чтобы закрыть доступ, достаточно убрать ключ человека из связки командой git secret removeperson и заново зашифровать файлы; если он мог скопировать секреты раньше, их тоже стоит сменить. Для работы нужны bash от версии 3.2.57, gawk, git, gpg (GnuPG 1.4–2.x) и sha256sum; установка — через brew, apt, yum или make. Режим шифрования только изменённых файлов опирается на контрольные суммы SHA-256, поэтому авторы советуют дополнять короткие секреты случайными данными или не использовать флаг -m. Лицензия MIT.