git-env-vault для монорепозиторіїв: зашифровані .env-файли в Git
Практичний гід по git-env-vault для монорепозиторіїв: як секрети залишаються зашифрованими в Git, як розробники отримують локальні .env-файли та де в цьому процесі використовуються SOPS, age і CI.
`git-env-vault` — це CLI- і TUI-інструмент для зберігання зашифрованих `.env`-секретів у Git у межах монорепозиторію. Він підтримує локальні pull-сценарії, окремі `.env`-файли для сервісів і повний шлях через SOPS + age для редагування, керування доступом і ротації. [1][2][3][4][5]
Що git-env-vault змінює на практиці
Головна суть не лише в тому, що секрети зашифровані. Репозиторій також отримує чистіший і зрозуміліший процес роботи навколо них.
Що таке git-env-vault
git-env-vault — це CLI і TUI на Node.js для роботи із зашифрованими .env-секретами в монорепозиторіях. У самому репозиторії інструмент описано доволі прямо: зашифровані файли секретів у Git, SOPS + age під капотом і локальні та CI-сценарії роботи поверх цього. [1]
Це не hosted secret manager. Тут модель прив’язана до репозиторію. Файли секретів залишаються зашифрованими в Git, мапа сервісів визначає, куди потрапляють розшифровані локальні файли, а CLI бере на себе pull, diff, push, зміни доступу та перевірки в CI. [1][2][3][4]
Як працює модель зберігання
Зручніше сприймати систему як кілька окремих файлів, у кожного з яких своя роль.
Зашифровані секрети лежать у secrets/
У документації з конфігурації показано структуру на кшталт secrets/<env>/<service>.sops.yaml. Ці файли залишаються зашифрованими всередині репозиторію. [3]
envvault.config.json мапить сервіси на локальні вихідні файли
Кожен сервіс вказує envOutput, наприклад apps/api/.env, тож локальні розшифровані файли потрапляють саме туди, де їх реально потребує монорепозиторій. [3]
Easy mode та full mode
Це перша межа, яку варто зрозуміти: вона спрощує онбординг і не вдає, ніби кожній машині з першого дня потрібен повний адміністративний стек.
| Comparison point | Easy mode | Full mode |
|---|---|---|
| Що використовує | JS decrypt fallback, зазвичай через cryptoBackend: "auto" | Локально встановлені sops + age |
| Найкраще підходить для | Локального pull і read-oriented онбордингу | Редагування, grant, revoke, updatekeys, rotate і push |
| Чого не намагається робити | Не замінює system SOPS для спільного write та задач керування ключами | Це очікуваний шлях, коли потрібно змінити спільний зашифрований стан або список recipients |
Звичайний робочий процес розробника
Типовий шлях короткий, і саме тому його легше впровадити в команді.
Локальні значення тут справді враховані як окремий кейс
Це одна з найпрактичніших частин інструмента, особливо в репозиторіях із ботами, локальними токенами або обліковими даними, прив’язаними до конкретного розробника.
Короткий приклад конфігурації з документації добре показує ідею:
{
"placeholderPolicy": {
"preserveExistingOnPlaceholder": true,
"patterns": ["__MISSING__", "CHANGEME*", "*PLACEHOLDER*"]
},
"localProtection": {
"global": ["BOT_TOKEN"],
"services": {
"api": ["TELEGRAM_BOT_TOKEN"]
}
},
"services": {
"api": { "envOutput": "apps/api/.env" },
"worker": { "envOutput": "apps/worker/.env" }
}
}localProtection зберігає вибрані локальні ключі
Placeholder-safe pull допомагає уникнути безглуздих поломок
Два CI-сценарії, дві різні задачі
У документації CI розділено на verification і payload delivery, тому що це справді різні задачі.
Використовуйте ci-verify
Використовуйте ci-seal і ci-unseal
Типові помилки під час впровадження
Інструментом легше користуватися правильно, коли його межі зрозумілі.
Джерела
Ці джерела підтверджують поведінку команд, модель конфігурації та рекомендації з безпеки, використані в цій статті.
Потрібна допомога, щоб навести лад у процесі роботи із секретами в монорепозиторії?
Найскладніша частина зазвичай не в самому шифруванні. Вона в усьому навколо: local overrides, зміни доступу, перевірки в CI та гігієна репозиторію. PAS7 Studio може допомогти оформити це у чистіший setup із чіткішими межами сервісів, безпечнішими дефолтами й меншою кількістю місць, де виростає drift секретів.
Пов'язані статті
Скільки коштує розробка AI асистента у 2026: RAG чатбот, база знань, CRM, Telegram та підтримка
Практичний гід для бізнесу: від чого залежить ціна розробки AI асистента у 2026 році, що входить у RAG чатбот, інтеграції з CRM, Telegram, guardrails, оцінювання, моніторинг і супровід.
AI для розробки лендінгів: де він реально прискорює запуск, а де псує конверсію
Дослідження про використання AI у розробці лендінгів: v0, Webflow AI, Builder.io, Framer-подібні AI builders, генерація UX, copy, SEO, персоналізація, A/B тести, ризики шаблонності, безпеки, доступності та технічного боргу.
AI SEO / GEO у 2026: ваші наступні клієнти — не люди, а агенти
Пошук зміщується від кліків до відповідей. Боти та AI-агенти сканують, цитують, рекомендують і дедалі частіше купують. Дізнайтесь, що таке AI SEO / GEO, чому класичного SEO вже недостатньо, і як PAS7 Studio допомагає брендам перемагати у «агентному» вебі.
Найпотужніший чіп від Apple? M5 Pro і M5 Max б'ють рекорди
Аналітичний розбір Apple M5 Pro і M5 Max станом на березень 2026 року. Пояснюємо, чому ці чіпи можна вважати найпотужнішими професійними ноутбучними SoC від Apple, як вони виглядають на тлі M4 Pro, M4 Max, M1 Pro, M1 Max і що показують у порівнянні з актуальними Intel та AMD.
Професійна розробка для вашого бізнесу
Створюємо сучасні веб-рішення та боти для бізнесу. Дізнайтеся, як ми можемо допомогти вам досягти цілей.