Secrets et configuration

Utilisez des secrets d'équipe pour les mots de passe, les clés de signature, les identifiants de fournisseur et d'autres valeurs privées. Votre manifeste stocke les références ; la valeur secrète reste dans le stockage secret de la plateforme.

Créer un secret

Sélectionnez votre équipe, puis utilisez Secrets dans le tableau de bord ou la CLI :

adios teams switch YOUR_TEAM_ID
adios secrets set DATABASE_URL --stdin
adios secrets list

Fournissez la valeur sur l’entrée standard. Utilisez un fichier pour une valeur sur plusieurs lignes :

adios secrets set BUILD_DEPLOY_KEY --from-file ~/.ssh/adios-build

Ajoutez --team YOUR_TEAM_ID lorsque vous avez besoin d’une cible explicite. Avant de supprimer ou remplacer un secret, vérifiez quelles applications et quels workflows l’utilisent.

Référencer les valeurs dans adios.yaml

env:
  PUBLIC_APP_URL: https://app.example.com
  DATABASE_URL: secret://DATABASE_URL
  API_SIGNING_KEY: secret://API_SIGNING_KEY

La configuration ordinaire et les références aux secrets se placent toutes deux dans env. Utilisez le bloc de premier niveau secrets lorsque le manifeste doit générer une valeur :

env:
  API_SIGNING_KEY: secret://API_SIGNING_KEY
secrets:
  API_SIGNING_KEY: secret://generate:64

Consultez les référence du manifeste pour les paramètres de l’environnement de compilation et dépendances Git privées pour les clés SSH réservées à la compilation.

Rotation et vérification

Mettez à jour la valeur stockée, puis déployez ou redémarrez l’application concernée si nécessaire pour appliquer la nouvelle configuration. Testez la connexion et consultez les journaux sans afficher les identifiants. Révoquez l’ancien identifiant chez son fournisseur une fois le remplacement opérationnel.

Les variables d’environnement d’application ne sont pas automatiquement sûres pour le code frontend. Les frameworks peuvent intégrer les variables à préfixe public dans les fichiers envoyés au navigateur. Conservez les identifiants privés sur le serveur et évitez d’enregistrer les URL de connexion complètes dans les journaux.