Segurança

Secrets criptografados

Variáveis de ambiente que você marca como secretas são criptografadas em repouso, para que quem navegue no banco de dados local não consiga lê-las.

Senha-mestra

Defina uma senha-mestra em Configurações → Segurança. A partir dela, o Granspace consegue criptografar e descriptografar seus secrets. A senha em si nunca é guardada — você destranca o cofre uma vez por sessão para ver secrets ou rodar projetos que os usam.

Como funciona

O Granspace usa criptografia de envelope:

Uma chave de dados aleatória (AES-256-GCM) criptografa os valores secretos. Ela vive apenas em memória enquanto destrancada.
Essa chave de dados é envelopada (criptografada) por duas coisas: uma chave derivada da sua senha (scrypt), e uma chave derivada da sua chave de recuperação.

Como a chave de dados é envelopada duas vezes, você pode recuperar o acesso com a chave de recuperação sem perder seus secrets, e pode mudar a senha sem recriptografar cada valor.

Destrancando

Quando o cofre está configurado, o Granspace pede a senha para destrancar pela sessão. Secrets trancados ficam mascarados e são omitidos do sync de .env e do granspace.json até você destrancar.

Se você esquecer tanto a senha quanto a chave de recuperação, os secrets não podem ser recuperados — você pode resetar o cofre, o que apaga os secrets criptografados.