Comparador de diferencias ENV

Comparar a ojo un archivo .env de staging con el de producción, o la configuración de despliegue de hoy con la de la semana pasada, es como empiezan las interrupciones reales: un DATABASE_URL que falta, un PORT que cambió sin avisar, una clave de API que se rotó en un entorno pero no en el otro. Pegar ambos archivos en un diff de texto genérico tampoco ayuda mucho — te muestra qué líneas difieren, no qué variables de entorno cambiaron realmente, y felizmente imprime cada valor secreto a la vista en cuanto compartes el resultado con un compañero.

Esta herramienta analiza ambos archivos como dotenv realmente los lee — un par CLAVE=valor por línea, comentarios con # y líneas en blanco ignorados, valores entre comillas simples o dobles desempaquetados (con \n desempaquetado solo dentro de comillas dobles, exactamente como especifica la convención dotenv), y un prefijo export CLAVE=valor opcional tolerado tal como se usa en archivos env obtenidos del shell. Cada archivo se convierte en un mapa limpio de clave a valor, y los dos mapas se comparan por clave: presente solo en el Archivo A es 'eliminada', presente solo en el Archivo B es 'añadida', presente en ambos con valor diferente es 'cambiada', y los valores idénticos quedan 'sin cambios' y ocultos por defecto para que la tabla se centre en lo que realmente difiere.

La característica que hace seguro usar esto con secretos reales es el enmascaramiento automático. Cada valor mostrado en la tabla de diferencias se verifica contra dos señales independientes: ¿el nombre de su clave parece un secreto (coincidencia sin distinción de mayúsculas con KEY, SECRET, TOKEN, PASSWORD, PRIVATE o CREDENTIAL)?, o ¿tiene el propio valor una alta entropía de Shannon — la misma medida de teoría de la información (-Σ p(c)·log2(p(c)) sobre los caracteres del valor) que señala claves de API, tokens y contraseñas aleatorias como estadísticamente diferentes de palabras comunes incluso cuando el nombre de la clave no da ninguna pista? Cualquiera de las dos señales basta para enmascarar un valor mostrando solo sus dos primeros y dos últimos caracteres, calculado de forma independiente para el lado anterior y el nuevo de cada fila cambiada.

Todo — el análisis, el cálculo de diferencias, la puntuación de entropía y el enmascaramiento — se ejecuta completamente en tu navegador; ni los archivos ni ningún valor extraído de ellos se envía jamás a ningún sitio. Esa es la garantía adecuada para una herramienta cuyo trabajo consiste precisamente en mirar dos archivos que probablemente contengan credenciales reales de bases de datos, claves de API y contraseñas lado a lado.