Comprobador de diferencias ENV

Comparando a simple vista un archivo .env de prueba con el de producción, o la configuración de implementación de hoy con la de la semana pasada, es como comienzan las interrupciones reales: una DATABASE_URL faltante, un PUERTO que cambió silenciosamente, una clave API que rotó en un entorno pero no en el otro. Pegar ambos archivos en una diferencia de texto genérica tampoco ayuda mucho: le muestra qué líneas difieren, no qué variables de entorno realmente cambiaron, e imprime felizmente cada valor secreto a la vista en el momento en que comparte el resultado con un compañero de equipo.

Esta herramienta analiza ambos archivos de la forma en que dotenv realmente los lee: un par KEY=value por línea, # comentarios y líneas en blanco ignoradas, valores entre comillas simples o dobles sin comillas (con \n sin escape solo entre comillas dobles, exactamente como lo especifica la convención dotenv), y un prefijo de exportación KEY=value opcional que tolera la forma en que lo usan los archivos env de shell. Cada archivo se convierte en un mapa limpio de clave a valor, y los dos mapas luego se diferencian por clave: el presente solo en el Archivo A se "elimina", el presente solo en el Archivo B se "agrega", el presente en ambos con un valor diferente se "cambia" y los valores idénticos "no se modifican" y se ocultan de forma predeterminada para que la tabla permanezca enfocada en lo que realmente difiere.

La característica que hace que su uso sea seguro con secretos reales es el enmascaramiento automático. Cada valor que se muestra en la tabla de diferencias se compara con dos señales independientes: si su nombre de clave parece un secreto (una coincidencia que no distingue entre mayúsculas y minúsculas con CLAVE, SECRETO, TOKEN, CONTRASEÑA, PRIVADO o CREDENCIAL), o si el valor en sí tiene una alta entropía de Shannon, la misma medida teórica de la información (-Σ p(c)·log2(p(c)) sobre los caracteres del valor) que marca las claves API, tokens y contraseñas aleatorias como estadísticamente diferentes de las palabras comunes. incluso cuando el nombre de la clave no da ninguna pista. Cualquiera de las dos señales es suficiente para enmascarar un valor hasta sus dos primeros y dos últimos caracteres, calculados de forma independiente para el lado antiguo y el nuevo de cada fila modificada.

Todo (análisis, diferenciación, puntuación de entropía y enmascaramiento) se ejecuta completamente en su navegador; Ningún archivo, ni ningún valor extraído de ellos, se envía a ninguna parte. Esa es la garantía adecuada para una herramienta cuyo trabajo completo es examinar dos archivos que probablemente contengan credenciales de bases de datos reales, claves API y contraseñas, uno al lado del otro.