git-env-vault для монорепозиторіїв: зашифровані .env-файли в Git
Практичний гід по git-env-vault для монорепозиторіїв: як секрети залишаються зашифрованими в Git, як розробники отримують локальні .env-файли та де в цьому процесі використовуються SOPS, age і CI.
`git-env-vault` — це CLI- і TUI-інструмент для зберігання зашифрованих `.env`-секретів у Git у межах монорепозиторію. Він підтримує локальні pull-сценарії, окремі `.env`-файли для сервісів і повний шлях через SOPS + age для редагування, керування доступом і ротації. [1][2][3][4][5]
Що git-env-vault змінює на практиці
Головна суть не лише в тому, що секрети зашифровані. Репозиторій також отримує чистіший і зрозуміліший процес роботи навколо них.
Що таке git-env-vault
git-env-vault — це CLI і TUI на Node.js для роботи із зашифрованими .env-секретами в монорепозиторіях. У самому репозиторії інструмент описано доволі прямо: зашифровані файли секретів у Git, SOPS + age під капотом і локальні та CI-сценарії роботи поверх цього. [1]
Це не hosted secret manager. Тут модель прив’язана до репозиторію. Файли секретів залишаються зашифрованими в Git, мапа сервісів визначає, куди потрапляють розшифровані локальні файли, а CLI бере на себе pull, diff, push, зміни доступу та перевірки в CI. [1][2][3][4]
Як працює модель зберігання
Зручніше сприймати систему як кілька окремих файлів, у кожного з яких своя роль.
Зашифровані секрети лежать у secrets/
У документації з конфігурації показано структуру на кшталт secrets/<env>/<service>.sops.yaml. Ці файли залишаються зашифрованими всередині репозиторію. [3]
envvault.config.json мапить сервіси на локальні вихідні файли
Кожен сервіс вказує envOutput, наприклад apps/api/.env, тож локальні розшифровані файли потрапляють саме туди, де їх реально потребує монорепозиторій. [3]
Easy mode та full mode
Це перша межа, яку варто зрозуміти: вона спрощує онбординг і не вдає, ніби кожній машині з першого дня потрібен повний адміністративний стек.
| Comparison point | Easy mode | Full mode |
|---|---|---|
| Що використовує | JS decrypt fallback, зазвичай через cryptoBackend: "auto" | Локально встановлені sops + age |
| Найкраще підходить для | Локального pull і read-oriented онбордингу | Редагування, grant, revoke, updatekeys, rotate і push |
| Чого не намагається робити | Не замінює system SOPS для спільного write та задач керування ключами | Це очікуваний шлях, коли потрібно змінити спільний зашифрований стан або список recipients |
Звичайний робочий процес розробника
Типовий шлях короткий, і саме тому його легше впровадити в команді.
Локальні значення тут справді враховані як окремий кейс
Це одна з найпрактичніших частин інструмента, особливо в репозиторіях із ботами, локальними токенами або обліковими даними, прив’язаними до конкретного розробника.
Короткий приклад конфігурації з документації добре показує ідею:
{
"placeholderPolicy": {
"preserveExistingOnPlaceholder": true,
"patterns": ["__MISSING__", "CHANGEME*", "*PLACEHOLDER*"]
},
"localProtection": {
"global": ["BOT_TOKEN"],
"services": {
"api": ["TELEGRAM_BOT_TOKEN"]
}
},
"services": {
"api": { "envOutput": "apps/api/.env" },
"worker": { "envOutput": "apps/worker/.env" }
}
}localProtection зберігає вибрані локальні ключі
Placeholder-safe pull допомагає уникнути безглуздих поломок
Два CI-сценарії, дві різні задачі
У документації CI розділено на verification і payload delivery, тому що це справді різні задачі.
Використовуйте ci-verify
Використовуйте ci-seal і ci-unseal
Типові помилки під час впровадження
Інструментом легше користуватися правильно, коли його межі зрозумілі.
Джерела
Ці джерела підтверджують поведінку команд, модель конфігурації та рекомендації з безпеки, використані в цій статті.
Потрібна допомога, щоб навести лад у процесі роботи із секретами в монорепозиторії?
Найскладніша частина зазвичай не в самому шифруванні. Вона в усьому навколо: local overrides, зміни доступу, перевірки в CI та гігієна репозиторію. PAS7 Studio може допомогти оформити це у чистіший setup із чіткішими межами сервісів, безпечнішими дефолтами й меншою кількістю місць, де виростає drift секретів.
Пов'язані статті
Скільки коштує розробка AI асистента у 2026: RAG чатбот, база знань, CRM, Telegram та підтримка
Практичний гід для бізнесу: від чого залежить ціна розробки AI асистента у 2026 році, що входить у RAG чатбот, інтеграції з CRM, Telegram, guardrails, оцінювання, моніторинг і супровід.
AI може зробити більше. Не краще: що насправді кажуть дослідження про розробку ігор
Generative AI входить у production ігор, але докази складніші за хайп. Розбираємо adoption, ставлення гравців, ризики якості та практичний workflow.
AI для розробки лендінгів: де він реально прискорює запуск, а де псує конверсію
Дослідження про використання AI у розробці лендінгів: v0, Webflow AI, Builder.io, Framer-подібні AI builders, генерація UX, copy, SEO, персоналізація, A/B тести, ризики шаблонності, безпеки, доступності та технічного боргу.
AI SEO / GEO у 2026: ваші наступні клієнти — не люди, а агенти
Пошук зміщується від кліків до відповідей. Боти та AI-агенти сканують, цитують, рекомендують і дедалі частіше купують. Дізнайтесь, що таке AI SEO / GEO, чому класичного SEO вже недостатньо, і як PAS7 Studio допомагає брендам перемагати у «агентному» вебі.
Професійна розробка для вашого бізнесу
Створюємо сучасні веб-рішення та боти для бізнесу. Дізнайтеся, як ми можемо допомогти вам досягти цілей.