Comparateur de Diff ENV

Comparer à l’œil un fichier .env de staging avec celui de production, ou la configuration de déploiement d’aujourd’hui avec celle de la semaine dernière, c’est ainsi que commencent les vraies pannes : une variable DATABASE_URL manquante, un PORT qui a changé discrètement, une clé API renouvelée dans un environnement mais pas dans l’autre. Coller les deux fichiers dans un outil de diff textuel générique n’aide pas beaucoup non plus — cela vous montre quelles lignes diffèrent, pas quelles variables d’environnement ont réellement changé, et cela affiche en clair chaque valeur secrète dès que vous partagez le résultat avec un collègue.

Cet outil analyse les deux fichiers comme dotenv les lit réellement — une paire CLÉ=valeur par ligne, commentaires # et lignes vides ignorés, valeurs entre guillemets simples ou doubles délimitées (avec \n déséchappé uniquement entre guillemets doubles, exactement comme la convention dotenv le spécifie), et tolérance du préfixe optionnel export CLÉ=valeur tel qu’utilisé dans les fichiers d’environnement sourcés par le shell. Chaque fichier devient une table de correspondance clé-valeur propre, puis les deux tables sont comparées par clé : présente uniquement dans le Fichier A est « supprimée », présente uniquement dans le Fichier B est « ajoutée », présente dans les deux avec une valeur différente est « modifiée », et les valeurs identiques sont « inchangées » et masquées par défaut pour que le tableau reste concentré sur ce qui diffère réellement.

La fonctionnalité qui rend cet outil sûr à utiliser avec de vrais secrets est le masquage automatique. Chaque valeur affichée dans le tableau de diff est vérifiée selon deux signaux indépendants : le nom de sa clé ressemble-t-il à un secret (recherche insensible à la casse de KEY, SECRET, TOKEN, PASSWORD, PRIVATE ou CREDENTIAL), ou la valeur elle-même a-t-elle une entropie de Shannon élevée — la même mesure issue de la théorie de l’information (-Σ p(c)·log2(p(c)) sur les caractères de la valeur) qui signale que les clés API, les jetons et les mots de passe aléatoires sont statistiquement différents des mots ordinaires même quand le nom de la clé ne donne aucune indication. Un seul signal suffit pour masquer une valeur en ne conservant que ses deux premiers et deux derniers caractères, calculés indépendamment pour l’ancienne et la nouvelle valeur de chaque ligne modifiée.

Tout — l’analyse, le diff, le score d’entropie et le masquage — s’exécute entièrement dans votre navigateur ; ni le fichier, ni aucune valeur qui en est extraite, ne sont jamais envoyés où que ce soit. C’est la garantie qui convient à un outil dont le rôle est précisément d’examiner côte à côte deux fichiers susceptibles de contenir de véritables identifiants de base de données, clés API et mots de passe.