osFoundry / Platform
Secret-Vault pro App
Verschlüsselte Secrets mit geplanter Rotation. Im Ruhezustand maskiert, bei jedem Zugriff auditiert.
Was es ist
Der App-eigene Secrets-Vault ist der Ort, an dem die Apps und Backends, die Sie in osFoundry bauen, ihre Zugangsdaten aufbewahren: Provider-API-Schlüssel, Datenbankpasswörter, OAuth-Tokens, Signatur-Secrets für Webhooks. Jede App erhält ihren eigenen Vault, sodass ein Secret, das eine App nutzt, für eine andere nicht lesbar ist. Werte werden ruhend verschlüsselt und bei der Anzeige maskiert, sodass der Klartext eines Schlüssels nicht in einer Konfigurationsdatei, einem Chat-Log oder einem Screenshot liegt. Ihre App liest ein Secret zur Laufzeit über den Namen; der Rohwert bleibt im Vault.
Die Rotation ist zeitgesteuert statt manuell. Sie legen für ein Secret einen Turnus fest, und der Vault verfolgt, wann er fällig ist, sodass ein Token, das Sie alle 90 Tage tauschen wollten, nicht ein Jahr lang unbemerkt weiterlebt, weil niemand daran gedacht hat. Jeder Zugriff wird auditiert: Der Vault protokolliert, welche App wann ein bestimmtes Secret abgerufen hat. Wenn eine Zugangsdaten also durchsickern oder sich auffällig verhalten, haben Sie eine Spur, die zeigt, wo es tatsächlich verwendet wurde, statt raten zu müssen.
Da osFoundry ein Bring-your-own-key-, Local-first-Desktop-Workspace ist, folgt das demselben Prinzip wie der Rest des Produkts: Ihre Secrets gehören Ihnen und liegen nicht bei einem Reseller. Der Vault sitzt in einem Workspace direkt neben Ihrem Chat, Ihren Agents, Apps, Ihrem Code und Ihren Daten, sodass die Schlüssel, von denen Ihre Apps abhängen, an derselben Stelle verwaltet werden, an der Sie sie bauen, statt über Umgebungsdateien und Drittanbieter-Dashboards verstreut zu sein. Für das Aufbewahren von Secrets fallen hier keine Gebühren pro Sitzplatz an.
Wichtige Funktionen
- Isolierung pro App: Jede App erhält ihren eigenen Vault, sodass eine App die Secrets einer anderen nicht lesen kann
- Ruhend verschlüsselt und bei der Anzeige maskiert – Klartextschlüssel liegen nie in Konfigurationsdateien, Logs oder Screenshots
- Zeitgesteuerte Rotation verfolgt den Turnus jedes Secrets und meldet Fälligkeit, statt sich auf das Gedächtnis zu verlassen
- Das Audit-Log hält fest, welche App welches Secret wann gelesen hat, und liefert nach einem Leck eine echte Nutzungsspur
- Apps referenzieren Secrets zur Laufzeit über den Namen, sodass Rohwerte aus Code und Chat-Verlauf herausbleiben
Anwendungsfälle
- Einzelentwickler: legt einen Stripe-Schlüssel und ein Postgres-Passwort für das Backend einer App ab, sodass Zugangsdaten nicht im Quellcode hartkodiert sind
- Agent-Entwickler: rotiert die Provider-API-Schlüssel, von denen seine Automatisierungen abhängen, jedes Quartal, ohne env-Dateien zu durchsuchen
- Datenschutzbewusstes Team: hält OAuth-Tokens von Kunden verschlüsselt auf dem Gerät und prüft die Audit-Spur, um zu bestätigen, welche App sie berührt hat
Häufig gestellte Fragen
Wo werden die Secrets gespeichert und wer kann sie sehen?
Sie liegen in Ihrem osFoundry-Workspace, ruhend verschlüsselt und bei der Anzeige maskiert. osFoundry ist Bring-your-own-key und Local-first, Ihre Secrets werden also nicht von Dritten gehalten oder weiterverkauft. Der Vault jeder App ist isoliert, sodass ein Secret nur von der App lesbar ist, zu der es gehört.
Wie funktioniert die zeitgesteuerte Rotation?
Sie legen für ein Secret einen Rotationsturnus fest, und der Vault verfolgt, wann er fällig ist, sodass alternde Tokens getauscht werden, statt unbegrenzt zu leben. So überdauern die Zugangsdaten, von denen Ihre Apps und Agents abhängen, ihre vorgesehene Lebensdauer nicht unbemerkt.
Was bringt mir „bei jedem Zugriff auditiert" konkret?
Der Vault protokolliert jeden Zugriff: welche App welches Secret wann abgerufen hat. Wenn Zugangsdaten durchsickern oder sich eine App unerwartet verhält, haben Sie einen Nachweis, wo dieses Secret tatsächlich verwendet wurde, statt über all Ihre Apps hinweg raten zu müssen.