L'anunci de l'obsolescència de dotenv-vault i el seu format .env.vault ha generat un moviment necessari en l'ecosistema de desenvolupament: la gestió de secrets i variables d'entorn necessita evolucionar. Per a equips petits i startups que depenien d'aquesta solució per sincronitzar claus entre desenvolupadors, el missatge és clar: no hi ha pegats ni noves integracions, i cada nou membre de l'equip preguntarà per què es continua utilitzant un format obsolet. La pregunta real no és si migrar, sinó cap a on. Aquest article analitza les alternatives des d'una perspectiva tècnica i empresarial, connectant la decisió amb pràctiques modernes de desenvolupament, com l'adopció de aplicacions a mida i l'ús d'agents d'IA per automatitzar fluxos de treball.
El que realment perdem en abandonar dotenv-vault és més que un fitxer xifrat. L'eina original resolia tres problemes: xifrar els .env en un .env.vault commiteable, sincronitzar-los a través de dotenv.org i separar entorns (desenvolupament, staging, producció) amb una clau única per entorn. Qualsevol reemplaçament ha de cobrir aquests tres punts, però també eliminar les molèsties històriques: la distribució de claus continuava sent fora de banda, no existia control d'accés per persona ni registre de qui va llegir què. En un context on la ciberseguretat és prioritat —com ho reflecteixen els serveis de ciberseguretat que oferim a Q2BSTUDIO—, mantenir un model sense traçabilitat és un risc innecessari.
La primera opció és dotenvx, el successor oficial del creador de dotenv. És gratuït, open source i funciona amb qualsevol llenguatge. El seu model: fitxers .env xifrats al repositori, desxifrats en temps d'execució amb una clau privada. És perfecte per a desenvolupadors en solitari o equips que se senten còmodes amb fitxers xifrats a Git. No obstant això, la clau privada continua havent d'arribar a cada membre de l'equip i a cada treball de CI a través d'un altre canal —sovint Slack—, que és exactament el problema que es volia resoldre. No hi ha control d'accés per persona ni auditoria: qui té la clau ho té tot. Per a equips que ja estan adoptant infraestructura cloud AWS/Azure, aquesta dependència d'un secret compartit pot ser un punt feble en l'estratègia de seguretat.
La segona alternativa són els gestors de secrets allotjats com Doppler o Infisical. Ambdós solucionen la sincronització en equip de forma madura, amb preus per seient (21 USD/usuari/mes a Doppler Team, 18 USD/identitat/mes a Infisical Pro, on les màquines també compten com a identitats). Per a un equip de sis persones, això suposa entre 1.300 i 1.500 dòlars l'any, i les identitats de màquina eleven encara més el cost. Són solucions provades per a empreses amb requisits de compliment i pressupost, però per a equips petits i àgils pot resultar excessiu. A Q2BSTUDIO, quan treballem amb clients que necessiten Business Intelligence amb Power BI, sovint recomanem eines que no disparen els costos operatius sense aportar valor proporcional.
La tercera opció, i la que més ens interessa per la seva alineació amb equips petits i moderns, és Envpilot. Es tracta d'un gestor de variables d'entorn open source (llicència MIT) construït específicament per al perfil d'equip que utilitzava dotenv-vault: petit, amb ritme ràpid i sense una persona dedicada a operacions. No emmagatzema fitxers al repositori. Amb la comanda envpilot run -- npm run dev s'injecten les variables directament al procés; res secret toca el disc. Ofereix sincronització en equip amb control d'accés real: permisos per rol i per variable, i un registre d'auditoria que indica qui va llegir què, quan i des d'on. Separació d'entorns amb unicitat forçada de claus —p. ex., DATABASE_URL per a desenvolupament i producció són variables diferents que mai col·lideixen silenciosament.
El model de preus d'Envpilot és pla: gratuït per a 3 membres i 3 projectes; el pla de pagament és un preu fix per organització, no per seient. Afegir el setè desenvolupador no costa res. Els valors s'emmagatzemen xifrats en una volta dedicada; la seva base de dades només guarda IDs de referència, mai els secrets en text pla. Tot el codi és a GitHub amb llicència MIT, cosa que permet auditar exactament com funciona la seguretat. Per a un equip que està adoptant agents d'IA o automatització de processos, comptar amb una gestió de secrets fiable i sense fricció és essencial per integrar aquests sistemes en pipelines CI/CD sense exposar credencials.
La migració des de dotenv-vault és directa i no requereix convertir el fitxer .env.vault. Només necessites els valors desxifrats que ja tens localment. Els passos són: instal·lar el CLI (npm install -g @envpilot/cli), iniciar sessió amb SSO (sense API keys a l'historial del shell), vincular la carpeta del projecte (envpilot init), pujar els teus .env actuals a cada entorn (envpilot push --env development i similars), i després verificar amb envpilot run -- npm run dev. Un cop confirmat, pots eliminar els fitxers locals .env, .env.vault i .env.keys. Els companys només repeteixen els passos 1 i 2 i ja estan sincronitzats —sense clau per compartir, perquè l'accés està vinculat al seu compte, no a un secret comú. Quan algú deixa l'equip, es revoca la persona, no es roten totes les claus que hagi tocat.
Per a integració contínua, EnvPilot ofereix una acció de GitHub que obté les variables amb un token amb abast limitat i emmascara cada valor als logs del workflow. Això encaixa perfectament amb desplegaments en cloud AWS/Azure, on cada entorn ha de tenir les seves pròpies credencials sense dependre de fitxers estàtics. A Q2BSTUDIO hem observat que els equips que migren a aquest tipus de solucions redueixen significativament els incidents de seguretat relacionats amb secrets exposats, especialment quan combinen la gestió de variables amb pràctiques d'intel·ligència artificial per a l'anàlisi de logs o la detecció d'anomalies.
Quin triar, doncs? La resposta honesta depèn del context. Si treballes sol i el model de fitxers xifrats a Git et resulta còmode, dotenvx és gratuït i oficial. Si pertanyes a una empresa amb requisits de compliment i pressupost, Doppler i Infisical són opcions provades. Però si formes part d'un equip petit que vol deixar d'enganxar fitxers .env a Slack i necessita saber qui va accedir a quina variable, EnvPilot cobreix exactament aquest buit —i el seu nivell gratuït permet provar-lo sense targeta de crèdit. En qualsevol cas, la migració és una oportunitat per repensar l'arquitectura de secrets i alinear-la amb les necessitats actuals de desenvolupament, on la ciberseguretat, l'automatització i la intel·ligència artificial són pilars. Des de Q2BSTUDIO, com a empresa de desenvolupament de programari i tecnologia, acompanyem els nostres clients en aquestes transicions, integrant solucions de programari a mida que garanteixen un ecosistema segur, escalable i preparat per al futur.
