env-master и Doppler
Doppler — ориентир по удобству: таблица «окружения × ключи», аккуратные интеграции, понятный интерфейс. Мы оба managed-сервисы, поэтому спор идёт не о том, где лежат данные, а о том, что вы можете узнать о доступе к ним.
Что известно про каждое чтение
Доступ к значению у нас — отдельное событие в отдельном потоке аудита, а не строка в общей ленте активности. Поток связан хеш-цепочкой: запись нельзя вырезать задним числом так, чтобы цепочка сошлась, и отпечатки считаются на ключе, отличном от того, которым шифруются данные. Это и есть ответ на вопрос «а вы сами не заглядываете» — не обещанием, а тем, что запись о заглядывании появится.
Насколько узок доступ
Identity ограничивается не окружением, а списком ключей: биллинговый воркер получает DB_*, а не весь прод. Плюс видимость restricted — значение, которое не показывается человеку вообще, ни в интерфейсе, ни по запросу; его забирает только сервис.
Что мы взяли у них
Модель «одна запись с флагом видимости» вместо двух хранилищ и таблицу окружений — это удачные решения, спорить с ними нет смысла. Мы добавили к ним аудит каждого чтения и скоуп identity до набора ключей.
Когда выбрать Doppler
Doppler старше, у него шире каталог интеграций и длиннее история эксплуатации — если это решающий довод, берите его, мы моложе и этого не отменяем. Ещё один честный повод: мы берём деньги за сервисы, а не за места в команде, и на маленькой команде с большим числом сервисов наш прайс окажется дороже.