HiveGrid-Wireframes/hivegrid-cloud/secrets

Geteilte Dev-Secrets (SOPS + age)

Die geteilten Dev-.env-Werte liegen verschlüsselt in secrets/dev.sops.env (SOPS mit age). So teilen beide Devs dieselbe lokale Konfiguration über das Repo — ohne Klartext-Keys in Git. Entschlüsselt wird lokal nach ./.env (gitignored).

Täglich

• pnpm env:pull → entschlüsselt secrets/dev.sops.env nach ./.env
• pnpm env:edit → öffnet die Secrets entschlüsselt im $EDITOR, re-verschlüsselt beim Speichern. Danach committen.

Onboarding (einmalig, je Dev)

1. brew install sops age
2. age-Key: mkdir -p ~/.config/sops/age && age-keygen -o ~/.config/sops/age/keys.txt
3. eigenen Public-Key zeigen: age-keygen -y ~/.config/sops/age/keys.txt → an den anderen Dev schicken
4. der andere trägt den Public-Key in .sops.yaml (kommagetrennt) ein, dann sops updatekeys secrets/dev.sops.env + committen
5. danach pnpm env:pull

Regeln

• Nie die entschlüsselte ./.env oder einen Klartext-Dump committen (ist gitignored).
• Secrets ändern nur via pnpm env:edit, dann committen.
• Der age-Private-Key (~/.config/sops/age/keys.txt) bleibt lokal, nie ins Repo.
• Lokale DB/Redis bleiben auf den lokalen Defaults aus .env.example; nur geteilte API-Keys liegen hier.