Das Kommandozeilen-Tool für Windows, macOS und Linux. Es arbeitet mit denselben verschlüsselten Dateien wie die Weboberfläche und bringt die Werte in Deploy-Skripte und CI.
Über pip, mit der Paketquelle von sareba.
pip install --extra-index-url https://updates.sareba.com/pypi/simple/ sareba-secrets-toolAktualisieren mit pip install --upgrade --extra-index-url https://updates.sareba.com/pypi/simple/ sareba-secrets-tool.
secrets-tool update holt neue Versionen jetzt von updates.sareba.com. Du musst nichts tun: Auch ältere Versionen werden automatisch dorthin weitergeleitet. Lässt deine Firewall nur bestimmte Adressen zu, gib updates.sareba.com frei. Die Download-Seite bleibt, wo sie ist.
Liest ein Deploy-Skript Werte aus secrets-tool und kopiert es irgendwo etwas in die Zwischenablage, meldet secrets-tool check das jetzt – auch wenn beides an verschiedenen Stellen im Skript steht. In der Zwischenablage liest jedes Programm mit, und ihr Verlauf hält die Werte fest. Der Hinweis darunter sagt dir, wie du es mit secrets-tool hostenv ohne Zwischenablage löst.
secrets-tool check prüft dein Repository: Ist die secrets.enc richtig eingecheckt, fehlt etwas in der .gitignore, steht irgendwo ein Wert aus der secrets.enc im Klartext, ein privater Schlüssel oder ein Token? Unter jedem Fund steht gleich, was zu tun ist – nie ein Wert. Mit secrets-tool check --hook läuft der Check vor jedem Commit, mit --json in deiner CI.
secrets-tool hostenv schreibt die env-Dateien für deine Docker-Container auf den Server – nur für root lesbar, ohne dass ein Wert auf dem Bildschirm, im Verlauf oder in der Prozessliste erscheint. Deine Deploy-Einzeiler enthalten danach nur noch --env-file und eine Prüfung, ob die Datei zum aktuellen Stand passt. Wie das geht, steht in der Doku unter „env-Dateien auf den Host bringen“.
secrets-tool set NAME ohne Wert fragt jetzt verdeckt nach dem Wert. So steht ein Passwort oder Token weder in deinem Befehlsverlauf noch in der Prozessliste.