Coffre-fort de secrets
Outil qui stocke et distribue de façon sécurisée les clés d'API, mots de passe techniques et certificats utilisés par les applications.
Définition complète
Un coffre-fort de secrets (secrets manager ou vault) conserve les secrets techniques dont les logiciels ont besoin pour fonctionner : mots de passe de bases de données, clés d'API de services tiers (paiement, emailing), clés de chiffrement, certificats. Il se distingue du gestionnaire de mots de passe, destiné aux personnes : ici, ce sont les applications et les serveurs qui viennent chercher leurs secrets.
Sans coffre, ces secrets finissent souvent écrits en dur dans le code source, dans des fichiers de configuration ou dans l'historique d'un dépôt Git, où ils restent lisibles par toute personne ayant accès au code, parfois publiquement. Le coffre centralise les secrets, les chiffre, contrôle quelle application peut lire quel secret, trace chaque accès et facilite leur rotation.
La CNIL demande de veiller à l'absence de secrets dans les outils de gestion de versions et de changer les secrets lors du passage en production.
Source : CNIL, Sécurité : encadrer les développements informatiques
Exemple concret
Une start-up e-commerce de 15 salariés publie par erreur un dépôt de code en public. Il contient la clé d'API de son prestataire de paiement et le mot de passe de la base clients. Des robots qui parcourent en permanence les dépôts publics la repèrent en quelques heures. Après avoir révoqué les clés en urgence, l'équipe déplace tous ses secrets dans un coffre : le code ne contient plus aucun secret et chaque clé peut être changée sans redéployer l'application.
Comment se protéger
- Rechercher les secrets déjà présents dans le code et l'historique des dépôts, puis les changer
- Interdire tout secret dans le code, les tickets, les emails et les messageries
- Ajouter un outil de détection de secrets dans la chaîne de développement
- Donner à chaque application un accès limité aux seuls secrets dont elle a besoin
- Programmer la rotation régulière des secrets et immédiatement en cas de fuite ou de départ
- Sauvegarder le coffre et documenter la procédure de reprise
Questions fréquentes
Le gestionnaire de mots de passe sert aux personnes qui se connectent à des sites et outils. Le coffre-fort de secrets sert aux applications et aux serveurs, qui y lisent automatiquement leurs identifiants techniques.
Moins directement, mais si un prestataire développe votre site ou vos intégrations, demandez-lui où sont stockées vos clés d'API et vos mots de passe techniques.
Termes liés
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
Gestionnaire de mots de passe
Logiciel qui génère, stocke chiffrés et remplit automatiquement des mots de passe uniques pour chaque compte.
PAM (gestion des accès à privilèges)
Ensemble de règles et d'outils qui encadrent, limitent et tracent l'usage des comptes administrateurs.
EDR
Logiciel installé sur chaque poste et serveur qui détecte les comportements suspects et permet d'isoler une machine attaquée.
Vous avez besoin d'un expert en Coffre-fort de secrets ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.