Secrets et coffre

Les valeurs de tes variables sont des secrets : mots de passe, clés de service, jetons. Host les garde dans un coffre, les chiffre, et ne les renvoie jamais en clair à quiconque n’en a pas besoin.

Cette page explique le modèle. Pour les règles chiffrées, voir Variables : référence.

Le coffre

• Chaque organisation a sa propre clé de chiffrement, AES-GCM 256 bits.
• Cette clé est elle-même chiffrée par une clé maîtresse, gardée hors de la base de données.
• Chaque valeur est liée à son projet. Une valeur recopiée dans un autre projet ne se déchiffre pas.

Qui lit quoi

Donnée	Qui la voit
Nom d’une variable	Tous les membres de l’organisation
Valeur d’une variable non sensible	Tous les membres de l’organisation
Valeur d’une variable sensible	Personne, après l’enregistrement. Elle peut seulement être remplacée

Une variable sensible ne part que vers le build du dépôt GitHub, par une clé limitée au projet. Un vercel pull depuis un poste de développement ne la télécharge pas.

Le journal du coffre

Le journal, en bas de l’onglet Variables d’environnement, garde les 50 derniers gestes sur le coffre :

• qui a créé, modifié ou supprimé une variable ;
• qui a affiché une valeur non sensible ;
• quelle clé d’API a téléchargé les variables, avec vercel pull ou un build ;
• quand Doppler a synchronisé une valeur.

Le journal ne garde jamais une valeur.

Les clés d’API

Host ne garde qu’une empreinte SHA-256 de chaque clé d’API. La clé complète ne s’affiche qu’une fois, à sa création. Si tu la perds, aucune copie n’est possible : crée une nouvelle clé, puis révoque l’ancienne.

Une clé posée dans un dépôt GitHub ne donne accès qu’à son projet. Une clé d’organisation donne accès à tous les projets de l’organisation, avec les variables non sensibles.

Les secrets des intégrations

Les jetons Doppler et les secrets des webhooks sont chiffrés de la même façon, et ne sont jamais renvoyés par la console ni par l’API. Chaque webhook Doppler est vérifié par sa signature HMAC.

Ce que le site publie

Le coffre protège les valeurs dans Host. Il ne protège pas un secret qui finit dans le site. Tout ce que le build écrit dans les fichiers du site est public, même si la variable d’origine était sensible.

Une variable lue dans le navigateur, comme celles qui commencent par PUBLIC_, VITE_ ou NEXT_PUBLIC_, ne doit jamais contenir un secret.

Voir aussi

• Gérer les variables d’environnement
• Synchroniser depuis Doppler
• Confidentialité