Vérificateur de différences ENV

Comparer visuellement un fichier .env intermédiaire à celui de la production, ou la configuration de déploiement d'aujourd'hui à celle de la semaine dernière, montre comment les véritables pannes commencent : une DATABASE_URL manquante, un PORT qui a changé silencieusement, une clé API qui a subi une rotation dans un environnement mais pas dans l'autre. Coller les deux fichiers dans un diff de texte générique n'aide pas beaucoup non plus - cela vous montre quelles lignes diffèrent, pas quelles variables d'environnement ont réellement changé, et il imprime volontiers chaque valeur secrète à la vue du moment où vous partagez la sortie avec un coéquipier.

Cet outil analyse les deux fichiers de la manière dont dotenv les lit réellement : une paire KEY=value par ligne, # commentaires et lignes vides ignorés, les valeurs entre guillemets simples ou doubles sans guillemets (avec \n sans échappement uniquement entre guillemets doubles, exactement comme le spécifie la convention dotenv), et un préfixe d'exportation KEY=value facultatif toléré de la manière dont les fichiers env provenant du shell l'utilisent. Chaque fichier devient une carte clé-valeur propre, et les deux cartes sont ensuite comparées par clé : celles présentes uniquement dans le fichier A sont "supprimées", celles présentes uniquement dans le fichier B sont "ajoutées", celles présentes dans les deux avec une valeur différente sont "modifiées" et les valeurs identiques sont "inchangées" et masquées par défaut afin que le tableau reste concentré sur ce qui diffère réellement.

La fonctionnalité qui rend cette utilisation sûre avec de vrais secrets est le masquage automatique. Chaque valeur affichée dans la table de comparaison est vérifiée par rapport à deux signaux indépendants : son nom de clé ressemble-t-il à un secret (une correspondance insensible à la casse avec KEY, SECRET, TOKEN, PASSWORD, PRIVATE ou CREDENTIAL), ou la valeur elle-même a-t-elle une entropie de Shannon élevée - la même mesure de la théorie de l'information (-Σ p(c)·log2(p(c)) sur les caractères de la valeur) qui signale les clés API, les jetons et les mots de passe aléatoires comme étant statistiquement différents des mots de passe ordinaires. mots même lorsque le nom de la clé ne donne aucune indication. L'un ou l'autre signal suffit à masquer une valeur jusqu'à ses deux premier et dernier caractères, calculés indépendamment pour l'ancien et le nouveau côté de chaque ligne modifiée.

Tout – analyse, comparaison, notation d'entropie et masquage – s'exécute entièrement dans votre navigateur ; aucun fichier, ni aucune valeur qui en est extraite, n'est jamais envoyé nulle part. C’est la bonne garantie pour un outil dont l’ensemble du travail consiste à examiner côte à côte deux fichiers susceptibles de contenir de véritables informations d’identification de base de données, des clés API et des mots de passe.