devstagingprodqa+ nuevo
$kofre run --env dev -- npm run dev
API_URLhttp://localhost:8080
DATABASE_HOSTlocalhost:5432
LOG_LEVELdebug
Los ambientes que necesites
dev, staging y prod vienen creados; kofre envs create añade otros, como qa.
Kofre CLIv0.4.4
Tus secretos,directo en la terminal.
Sube tu .env cifrado con kofre push, recupéralo con kofre pull o pásaselo a tu app en memoria con kofre run.
$
brew install kofrehq/tap/kofremacOS (Intel y Apple Silicon), Linux y Windows · npm con Node 22.23.4+, 24.22.1+ o 26.12.1+ · Releases
$
Si tu programa lee variables de entorno, funciona con Kofre
Node.jsPythonGoRustRubyPHPJavaDenoBunElixir.NETKotlin
Next.jsDjangoRailsLaravelFastAPIExpressDockerKubernetesTerraformGitHub ActionsGitLab CIVite
Del .env en texto plano al cofre, en un comando.
Cada variable se cifra en tu máquina antes de enviarse. Después ya puedes borrar el .env en texto plano.
.envTexto plano en disco
DATABASE_URL=postgres://acme:s3cr3t@db-prod.internal:5432/acme
STRIPE_SECRET_KEY=sk_live_51Hx9Kc2LmQe7rT0
JWT_SECRET=b7e1c0f9a24d6e83f1c27a90
REDIS_URL=redis://:p4ss@cache.internal:6379
SENDGRID_API_KEY=SG.x81kQ2.Lm0pZ7rT4vW9
SENTRY_DSN=https://4f2a91@o12.ingest.sentry.io/77
acme-api/prod
DATABASE_URL
STRIPE_SECRET_KEY
JWT_SECRET
REDIS_URL
SENDGRID_API_KEY
SENTRY_DSN
Qué guarda el servidor y qué recibe tu app
kofre run abre la clave del ambiente en tu máquina, descifra las variables en memoria y arranca tu app con ellas.
Servidor Kofre
Guarda el nombre, la versión y el valor cifrado.
9f2c4e81d07ab35e6c1f…b71a
Tu dispositivo
Abre la clave del ambiente con tu clave privada, guardada en el llavero del sistema.
clave privada · llavero
Tu proceso
Recibe las variables como cualquier variable de entorno.
process.env.DATABASE_URL
Lo que guarda el servidorXChaCha20-Poly1305
1{
2 "name": "DATABASE_URL",
3 "ciphertext": "9f2c4e81d07ab35e6c1f…b71a",
4 "version": 3
5}
Contraseña maestra
Argon2id
19 MiB y 2 iteraciones. El servidor guarda un verificador, nunca la contraseña.
Clave de ambiente
X25519
32 bytes por ambiente, sellada para cada miembro sobre su clave pública.
Cada valor
XChaCha20-Poly1305
Nonce aleatorio de 24 bytes y datos asociados que atan proyecto, ambiente, nombre y versión.
Clave privada
Llavero del sistema
DPAPI, el llavero de macOS o libsecret. En la web, solo en memoria.
Más allá de push y pull
$ kofre pull --env prod -o .env
Bóveda bloqueada
La bóveda se abre con tu contraseña
La primera operación con secretos pide tu contraseña maestra. La clave privada queda en el llavero del sistema hasta que ejecutas kofre lock.
$ kofre history DATABASE_URL --env prod --show
VERSIÓNFECHAVALORv322/10/26, 10:14••••••••v214/10/26, 18:02••••••••v102/10/26, 09:40••••••••
Historial de cada variable
Cada cambio crea una versión. kofre history las lista; con --show las descifra en tu máquina.
portátil-de-ana
web
portátil-viejo
Dispositivos revocables
kofre devices lista dónde tienes sesión. Si pierdes un portátil, lo revocas desde el panel.
$ kofre --version
0.4.4
macOS, Linux y Windows
Binario nativo sin dependencias, o el paquete de npm si ya usas Node. Descargas y checksums en kofre-releases.
Los comandos que más vas a usar
Ejecuta kofre --help para ver el resto, o kofre ui para usarlos desde una interfaz en la terminal.
$
En tu pipeline de CI/CD
Crea un token de servicio con kofre tokens create y expórtalo como KOFRE_TOKEN: el pipeline no necesita login.
$ kofre tokens create --name ci --envs prod --expires 90
Guarda este token ahora; no se puede volver a ver. Úsalo como KOFRE_TOKEN en tu CI (solo lectura).
kofre_st_…
- Solo lectura
- Acotado a los ambientes que elijas
- Caduca y se revoca con kofre tokens revoke
.github/workflows/deploy.yml
1name: Deploy
2on:
3 push:
4 branches: [main]
5jobs:
6 deploy:
7 runs-on: ubuntu-latest
8 steps:
9 - uses: actions/checkout@v4
10 - uses: actions/setup-node@v4
11 with: { node-version: 22.23.4 }
12 - run: npm install -g @kofre/cli
13 - run: kofre run --env prod -- npm run deploy
14 env:
15 KOFRE_TOKEN: ${{ secrets.KOFRE_TOKEN }}
Prueba Kofre con tu próximo .env
Crea la cuenta, instala la CLI y ejecuta kofre init en tu proyecto. El plan Alcancía es gratis y no pide tarjeta.
$
brew install kofrehq/tap/kofre