osFoundry / Platform
Coffre-fort de secrets par application
Secrets chiffrés avec rotation planifiée. Masqués au repos, audités à chaque lecture.
Présentation
Le coffre de secrets par app est l'endroit où les applications et les backends que vous construisez dans osFoundry conservent leurs identifiants : clés d'API de fournisseurs, mots de passe de bases de données, jetons OAuth, secrets de signature de webhooks. Chaque app dispose de son propre coffre, si bien qu'un secret utilisé par une app n'est pas lisible par une autre. Les valeurs sont chiffrées au repos et masquées à l'affichage, de sorte que le texte en clair d'une clé ne traîne pas dans un fichier de configuration, un journal de conversation ou une capture d'écran. Votre app lit un secret par son nom à l'exécution ; la valeur brute reste dans le coffre.
La rotation est planifiée plutôt que manuelle. Vous définissez une cadence pour un secret, et le coffre suit son échéance, de sorte qu'un jeton que vous vouliez renouveler tous les 90 jours ne vive pas discrètement pendant un an parce que personne ne s'en est souvenu. Chaque lecture est auditée : le coffre enregistre quelle app a récupéré un secret donné, et quand, de sorte qu'en cas de fuite ou de comportement anormal d'un identifiant, vous disposez d'une trace montrant où il a réellement servi, au lieu de deviner.
Parce qu'osFoundry est un espace de travail de bureau local-first en bring-your-own-key, cela obéit au même principe que le reste du produit : vos secrets sont à vous, et non détenus par un revendeur. Le coffre côtoie vos conversations, vos agents, vos apps, votre code et vos données dans un seul espace de travail, de sorte que les clés dont dépendent vos apps sont gérées là où vous les construisez, plutôt que dispersées entre des fichiers d'environnement et des tableaux de bord tiers. Aucun frais par siège pour y conserver des secrets.
Fonctionnalités clés
- Isolation par app : chaque app dispose de son propre coffre, si bien qu'une app ne peut pas lire les secrets d'une autre
- Chiffré au repos et masqué à l'affichage : les clés en clair ne traînent jamais dans un fichier de configuration, un journal ou une capture
- La rotation planifiée suit la cadence de chaque secret et signale l'échéance, sans compter sur la mémoire
- Le journal d'audit enregistre quelle app a lu quel secret et quand, offrant une véritable trace d'usage après une fuite
- Les apps référencent les secrets par leur nom à l'exécution, tenant les valeurs brutes hors du code et de l'historique de conversation
Cas d’usage
- Développeur solo : stocke une clé Stripe et un mot de passe Postgres pour le backend d'une app, sans identifiants codés en dur dans le source
- Développeur d'agents : renouvelle chaque trimestre les clés d'API de fournisseur dont dépendent ses automatisations, sans fouiller les fichiers env
- Équipe soucieuse de la confidentialité : conserve les jetons OAuth des clients chiffrés sur l'appareil et consulte la trace d'audit pour confirmer quelle app y a touché
Questions fréquentes
Où les secrets sont-ils stockés, et qui peut les voir ?
Ils résident dans votre espace de travail osFoundry, chiffrés au repos et masqués à l'affichage. osFoundry est bring-your-own-key et local-first : vos secrets ne sont donc ni détenus ni revendus par un tiers. Le coffre de chaque app est isolé, si bien qu'un secret n'est lisible que par l'app à laquelle il appartient.
Comment fonctionne la rotation planifiée ?
Vous définissez une cadence de rotation pour un secret, et le coffre suit son échéance, de sorte que les jetons vieillissants soient renouvelés plutôt que de vivre indéfiniment. Ainsi, les identifiants dont dépendent vos apps et vos agents ne survivent pas discrètement au-delà de leur durée de vie prévue.
Que m'apporte concrètement l'« audit à chaque lecture » ?
Le coffre journalise chaque accès : quelle app a récupéré quel secret, et quand. Si un identifiant fuite ou qu'une app se met à se comporter de façon inattendue, vous disposez d'un relevé indiquant où ce secret a réellement servi, au lieu de devoir deviner parmi toutes vos apps.