Das Kommandozeilen-Tool für Windows, macOS und Linux. Es arbeitet mit denselben verschlüsselten Dateien wie die Weboberfläche und bringt die Werte in Deploy-Skripte und CI.
Signierte Paketquellen für x64 und ARM64 – danach aktualisiert die Paketverwaltung mit.
curl -fsSL https://updates.sareba.com/keys/sareba-repo.asc | sudo pacman-key --add -
sudo pacman-key --lsign-key 4334C7103E2225CC3C7571EEABB66599F1F6BBD2
printf '\n[sareba]\nSigLevel = Required\nServer = https://updates.sareba.com/arch/$arch\n' | sudo tee -a /etc/pacman.confSchlüssel der Paketquelle
curl -fsSL https://updates.sareba.com/keys/sareba-repo.asc | gpg --show-keysErwartet: Fingerabdruck 4334C7103E2225CC3C7571EEABB66599F1F6BBD2. apt, dnf und pacman prüfen danach bei jeder Installation selbst.
Prüfsummen direkt geladener Dateien – im Download-Ordner
curl -fsSL https://updates.sareba.com/secrets-tool/0.9.1.38/SHA256SUMS | sha256sum -c --ignore-missingErwartet: je geladener Datei OK.
secrets-tool update holt neue Versionen jetzt von updates.sareba.com. Du musst nichts tun: Auch ältere Versionen werden automatisch dorthin weitergeleitet. Lässt deine Firewall nur bestimmte Adressen zu, gib updates.sareba.com frei. Die Download-Seite bleibt, wo sie ist.
Liest ein Deploy-Skript Werte aus secrets-tool und kopiert es irgendwo etwas in die Zwischenablage, meldet secrets-tool check das jetzt – auch wenn beides an verschiedenen Stellen im Skript steht. In der Zwischenablage liest jedes Programm mit, und ihr Verlauf hält die Werte fest. Der Hinweis darunter sagt dir, wie du es mit secrets-tool hostenv ohne Zwischenablage löst.
secrets-tool check prüft dein Repository: Ist die secrets.enc richtig eingecheckt, fehlt etwas in der .gitignore, steht irgendwo ein Wert aus der secrets.enc im Klartext, ein privater Schlüssel oder ein Token? Unter jedem Fund steht gleich, was zu tun ist – nie ein Wert. Mit secrets-tool check --hook läuft der Check vor jedem Commit, mit --json in deiner CI.
secrets-tool hostenv schreibt die env-Dateien für deine Docker-Container auf den Server – nur für root lesbar, ohne dass ein Wert auf dem Bildschirm, im Verlauf oder in der Prozessliste erscheint. Deine Deploy-Einzeiler enthalten danach nur noch --env-file und eine Prüfung, ob die Datei zum aktuellen Stand passt. Wie das geht, steht in der Doku unter „env-Dateien auf den Host bringen“.
secrets-tool set NAME ohne Wert fragt jetzt verdeckt nach dem Wert. So steht ein Passwort oder Token weder in deinem Befehlsverlauf noch in der Prozessliste.