Comparador de Diff ENV

Comparar a olho um arquivo .env de staging com o de produção, ou a configuração de deploy de hoje com a da semana passada, é como realmente começam as interrupções: um DATABASE_URL ausente, uma PORT que mudou silenciosamente, uma chave de API que foi rotacionada em um ambiente mas não no outro. Colar os dois arquivos em um diff de texto genérico também não ajuda muito — mostra quais linhas diferem, não quais variáveis de ambiente realmente mudaram, e exibe alegremente cada valor secreto em texto claro no momento em que você compartilha o resultado com um colega.

Esta ferramenta analisa ambos os arquivos exatamente como o dotenv os lê — um par CHAVE=valor por linha, comentários com # e linhas em branco ignorados, valores entre aspas simples ou duplas sem as aspas (com escape de \n apenas dentro de aspas duplas, exatamente como a convenção dotenv especifica), e um prefixo opcional export CHAVE=valor tolerado como os arquivos env originados do shell usam. Cada arquivo se torna um mapa limpo de chave para valor, e os dois mapas são então comparados por chave: presente apenas no Arquivo A é 'removida', presente apenas no Arquivo B é 'adicionada', presente em ambos com valor diferente é 'alterada', e valores idênticos são 'inalterados' e ficam ocultos por padrão para que a tabela se concentre no que realmente difere.

O recurso que torna isso seguro para usar de fato com segredos reais é o mascaramento automático. Cada valor exibido na tabela de diff é verificado contra dois sinais independentes: o nome da chave aparenta ser um segredo (uma correspondência sem distinção entre maiúsculas e minúsculas com KEY, SECRET, TOKEN, PASSWORD, PRIVATE ou CREDENTIAL), ou o valor em si tem alta entropia de Shannon — a mesma medida da teoria da informação (-Σ p(c)·log2(p(c)) sobre os caracteres do valor) que sinaliza chaves de API, tokens e senhas aleatórias como estatisticamente diferentes de palavras comuns, mesmo quando o nome da chave não dá pistas. Qualquer um dos sinais é suficiente para mascarar um valor até seus dois primeiros e dois últimos caracteres, calculados independentemente para o lado antigo e o novo de cada linha alterada.

Tudo — análise, comparação, pontuação de entropia e mascaramento — roda inteiramente no seu navegador; nem o arquivo, nem qualquer valor extraído dele, é enviado para lugar algum. Essa é a garantia certa para uma ferramenta cujo trabalho inteiro é olhar para dois arquivos que provavelmente contêm credenciais reais de banco de dados, chaves de API e senhas lado a lado.