osFoundry / Platform
Vault dei secret per app
Secret cifrati con rotazione pianificata. Mascherati a riposo, sottoposti ad audit a ogni lettura.
Che cos’è
Il vault dei secret per app è il luogo in cui le app e i backend che costruisci dentro osFoundry conservano le proprie credenziali: chiavi API dei provider, password di database, token OAuth, secret di firma dei webhook. Ogni app riceve il proprio vault, così un secret usato da un'app non è leggibile da un'altra. I valori sono cifrati a riposo e mascherati quando vengono mostrati, così il testo in chiaro di una chiave non resta in un file di configurazione, in un log di chat o in uno screenshot. La tua app legge un secret per nome a runtime; il valore grezzo rimane nel vault.
La rotazione è pianificata anziché manuale. Imposti una cadenza per un secret e il vault tiene traccia di quando scade, così un token che intendevi rinnovare ogni 90 giorni non finisce per vivere un anno intero solo perché nessuno se lo è ricordato. Ogni lettura è verificata: il vault registra quale app, e quando, ha prelevato un dato secret, così se una credenziale trapela o si comporta in modo anomalo hai una traccia che mostra dove è stata davvero usata, invece di dover tirare a indovinare.
Poiché osFoundry è uno spazio di lavoro desktop local-first e bring-your-own-key, questo segue lo stesso principio del resto del prodotto: i tuoi secret sono tuoi, non nelle mani di un rivenditore. Il vault sta accanto a chat, agent, app, codice e dati in un unico spazio di lavoro, così le chiavi da cui dipendono le tue app sono gestite nello stesso posto in cui le costruisci, anziché sparse tra file d'ambiente e dashboard di terze parti. Non ci sono costi per postazione per tenere qui i secret.
Funzionalità principali
- Isolamento per app: ogni app riceve il proprio vault, così un'app non può leggere i secret di un'altra
- Cifrato a riposo e mascherato quando mostrato: le chiavi in chiaro non restano mai in file di configurazione, log o screenshot
- La rotazione pianificata segue la cadenza di ogni secret e segnala la scadenza, senza affidarsi alla memoria
- Il log di audit registra quale app ha letto quale secret e quando, dandoti una traccia d'uso reale dopo una fuga
- Le app referenziano i secret per nome a runtime, tenendo i valori grezzi fuori dal codice e dalla cronologia delle chat
Casi d’uso
- Sviluppatore singolo: conserva una chiave Stripe e una password Postgres per il backend di un'app, così le credenziali non sono scritte nel codice sorgente
- Sviluppatore di agent: ruota ogni trimestre le chiavi API dei provider da cui dipendono le sue automazioni, senza frugare nei file env
- Team attento alla privacy: tiene i token OAuth dei clienti cifrati sul dispositivo e consulta la traccia di audit per confermare quale app li ha toccati
Domande frequenti
Dove sono conservati i secret e chi può vederli?
Risiedono nel tuo spazio di lavoro osFoundry, cifrati a riposo e mascherati quando mostrati. osFoundry è bring-your-own-key e local-first, quindi i tuoi secret non sono detenuti né rivenduti da terze parti. Il vault di ogni app è isolato, così un secret è leggibile solo dall'app a cui appartiene.
Come funziona la rotazione pianificata?
Imposti una cadenza di rotazione per un secret e il vault tiene traccia di quando scade, così i token che invecchiano vengono rinnovati anziché vivere all'infinito. In questo modo le credenziali da cui dipendono le tue app e i tuoi agent non sopravvivono in silenzio oltre la durata prevista.
Cosa mi dà concretamente il fatto che sia "verificato a ogni lettura"?
Il vault registra ogni accesso: quale app ha prelevato quale secret e quando. Se una credenziale trapela o un'app inizia a comportarsi in modo inatteso, hai una traccia di dove quel secret è stato davvero usato, invece di dover indovinare tra tutte le tue app.