#infisical
2 articles
Le secret que l'agent ne voit jamais
Le volet précédent avait retiré les clés SSH permanentes du poste. Restait l'autre moitié : quatre-vingts jetons d'API en clair dans un fichier, que n'importe quel process pouvait lire. Cette fois, on ne remplace pas un secret par un meilleur secret — on fait en sorte que le secret ne soit plus là du tout. Il vit ailleurs et s'injecte en transit ; l'agent qui appelle l'API ne voit jamais sa valeur. Avec une nuance qui a fini par structurer tout le reste : le bon outil dépend de qui consomme le secret.
La clé sous le paillasson : du SSH par clé au SSH par certificat
On avait mis les clés SSH dans une YubiKey — le hardware, l'inextractible. Sauf une : une clé fichier sans passphrase, gardée pour que l'automation tourne la nuit. Le talon d'Achille qu'on avait nous-mêmes nommé s'est réalisé. Comment on l'a retiré de 63 hôtes sans coupure, en remplaçant la clé permanente par des certificats de 15 minutes.