osFoundry / Platform
Cofre de segredos por app
Segredos criptografados com rotação agendada. Mascarados em repouso, auditados em cada leitura.
O que é
O cofre de segredos por app é onde as aplicações e os backends que você constrói dentro do osFoundry guardam suas credenciais: chaves de API de provedores, senhas de banco de dados, tokens OAuth, segredos de assinatura de webhooks. Cada app ganha seu próprio cofre, então um segredo usado por um app não pode ser lido por outro. Os valores são criptografados em repouso e mascarados na exibição, de modo que o texto puro de uma chave não fica num arquivo de configuração, num log de chat nem numa captura de tela. Seu app lê um segredo pelo nome em tempo de execução; o valor bruto permanece no cofre.
A rotação é agendada, não manual. Você define uma cadência para um segredo e o cofre acompanha quando ela vence, para que um token que você pretendia renovar a cada 90 dias não acabe vivendo um ano inteiro só porque ninguém lembrou dele. Cada leitura é auditada: o cofre registra qual app puxou determinado segredo, e quando, então, se uma credencial vaza ou se comporta mal, você tem um rastro mostrando onde ela foi de fato usada, em vez de ficar adivinhando.
Como o osFoundry é um espaço de trabalho desktop local-first e bring-your-own-key, isso segue o mesmo princípio do resto do produto: seus segredos são seus, não ficam nas mãos de um revendedor. O cofre fica ao lado do seu chat, agentes, apps, código e dados num único espaço de trabalho, de modo que as chaves das quais seus apps dependem são gerenciadas no mesmo lugar em que você as constrói, em vez de espalhadas por arquivos de ambiente e painéis de terceiros. Não há cobrança por assento para guardar segredos aqui.
Principais recursos
- Isolamento por app: cada app ganha seu próprio cofre, então um app não consegue ler os segredos de outro
- Criptografado em repouso e mascarado na exibição: chaves em texto puro nunca ficam em arquivos de configuração, logs ou capturas
- A rotação agendada acompanha a cadência de cada segredo e sinaliza o vencimento, sem depender da memória
- O log de auditoria registra qual app leu qual segredo e quando, dando um rastro de uso real após um vazamento
- Os apps referenciam segredos pelo nome em tempo de execução, mantendo os valores brutos fora do código e do histórico de chat
Casos de uso
- Desenvolvedor solo: guarda uma chave do Stripe e uma senha do Postgres para o backend de um app, sem credenciais fixas no código-fonte
- Desenvolvedor de agentes: rotaciona a cada trimestre as chaves de API de provedor das quais suas automações dependem, sem vasculhar arquivos de ambiente
- Equipe atenta à privacidade: mantém os tokens OAuth de clientes criptografados no dispositivo e revisa o rastro de auditoria para confirmar qual app os acessou
Perguntas frequentes
Onde os segredos ficam armazenados e quem pode vê-los?
Ficam no seu espaço de trabalho do osFoundry, criptografados em repouso e mascarados na exibição. O osFoundry é local-first e bring-your-own-key, então seus segredos não ficam nas mãos de terceiros nem são revendidos. O cofre de cada app é isolado, então um segredo só pode ser lido pelo app ao qual pertence.
Como funciona a rotação agendada?
Você define uma cadência de rotação para um segredo e o cofre acompanha quando ela vence, de modo que tokens envelhecidos são renovados em vez de viverem indefinidamente. Isso evita que as credenciais das quais seus apps e agentes dependem sobrevivam em silêncio além do tempo previsto.
O que "auditado a cada leitura" me dá na prática?
O cofre registra cada acesso: qual app puxou qual segredo, e quando. Se uma credencial vaza ou um app começa a se comportar de forma inesperada, você tem um registro de onde aquele segredo foi de fato usado, em vez de ter que adivinhar entre todos os seus apps.