01
チャットや手作業で配っている
経路上に平文が残り、メッセージ履歴や端末、バックアップから消せなくなります。
Offline-first secret sharing CLI
.env や API キーを、
チャットや手作業で
共有していませんか。
Encrypted secrets, reviewed like code.
Kapsaro は、Git/PR 中心の開発チームのための秘密情報共有ツールです。秘密情報をメンバーごとに暗号化し、誰に共有するか・いつ変更したかを Pull Request で確認できます。専用サーバや外部 SaaS は必要ありません。
brew install ebisawa/kapsaro/kapsaro
Apache-2.0
HPKE
Ed25519 signatures
# 1. 既存の .env を暗号化して取り込む
kapsaro import .env
# 2. 暗号化された差分を PR でレビュー
git add . && git commit -m "update secrets"
# 3. 平文を残さず、いつものコマンドで実行
kapsaro run -- npm start01 · 課題
その秘密情報の共有、危なくありませんか
最も避けたいのは、とりあえずチャットで送る、個人のローカルにだけ残る、誰がどの値を持っているか分からない、という状態です。
02
個人のローカルにだけ残る
最新の値がどこにあるのか、誰が持っているのかが分からなくなります。
03
変更履歴と受信者が追えない
いつ・誰が・何を変えたか、今は誰に共有されているかの記録が残りません。
02 · 解決
Git の開発フローの中で解決する
本格的なシークレット管理基盤やクラウドの Secrets Manager を導入するほどではない。しかし平文の配布は続けたくない。Kapsaro はその間にある実務的な課題を、専用サーバや外部 SaaS なしで解決します。
メンバーごとに暗号化
鍵を配らずに共有
秘密情報はメンバーごとの公開鍵で暗号化され、共有パスワードを配る必要がありません。暗号化された値は .kapsaro/secrets/ に保存され、平文の .env をリポジトリに置かずに済みます。
Pull Request で確認
変更と受信者をレビュー
値の変更も、誰に共有するか（受信者）の更新も、Pull Request の差分として確認できます。コードと同じレビューの流れに載せられます。
既存コマンドに注入
平文を書き出さずに実行
kapsaro run は復号した値をプロセスへ渡します。ディスクに平文ファイルを残しません。
03 · 仕組み
3 ステップで日常に組み込む
アプリケーションの起動方法は変えず、復号結果だけを環境変数として渡します。
1
既存プロジェクトを初期化
GitHub 用などで使っている Ed25519 SSH 鍵をそのまま利用できます。
2
.env を取り込む
secret はキー単位で暗号化され、変更された entry と署名だけが差分になります。
3
いつものコマンドを実行
復号した値はプロセスに渡され、平文ファイルをディスクに残しません。
# 1. workspace を初期化
kapsaro init --member-handle alice@example.com
# 2. 既存の .env を暗号化して取り込み
kapsaro import .env
# 3. 平文ファイルを書き出さずに起動
kapsaro run -- npm start
# 4. 個別の値も取得
kapsaro get DATABASE_URL04 · 適合
こんなチームに向いています
今の Git ワークフローを大きく変えずに、平文共有から一歩抜け出したいチームに向いています。本番のすべての secret を中央で統制する基盤ではなく、即時失効や詳細な監査、動的シークレットが必要な領域は、専用の Secrets Manager / KMS と併用してください。
開発・検証
開発用・検証用の .env
ローカルやステージングで使う .env を、平文で配らずに共有したい。
証明書
チーム内で共有する証明書
クライアント証明書や鍵ファイルを、追跡可能な形で配布したい。
CI
限定的な CI シークレット
CI で使う範囲を限定したシークレットを、リポジトリのレビューに載せて管理したい。
Git ネイティブ
既存のフローを変えたくない
新しい基盤を導入せず、今のリポジトリと PR レビューの上でそのまま運用したい。
05 · 安全性
安全性の考え方
Kapsaro は独自実装の暗号に頼らず、公開鍵暗号による個別の鍵と、実証された業界標準の技術で秘密情報を守ります。
個別の鍵
共有鍵をなくし、本人だけが復号
公開鍵暗号で共有相手ごとに暗号化します。チームで使い回す共有パスワードや共通鍵を配らず、登録された本人だけが自分の鍵で復号できます。
標準の暗号
実証された業界標準を採用
独自実装の暗号ではなく、標準として公開され広く検証されてきた公開鍵暗号と署名方式（HPKE や Ed25519 など）を採用しています。
中央サーバなし
秘密を中央サーバに預けない
暗号化も復号もローカルで完結します。復号できる鍵は各自の手元にあり、リポジトリには暗号化された値だけが残るため、1 か所の侵害で平文がまとめて漏れる構造になりません。
06 · 導入
必要なのは、SSH 鍵だけ
GitHub などで普段使っている Ed25519 の SSH 鍵があれば、今のリポジトリですぐ始められます。GPG や専用サーバ、外部 SaaS は要りません。Homebrew でインストールし、既存の .env を取り込むだけです。
# Homebrew
brew install ebisawa/kapsaro/kapsaro
# 初期化して取り込み
kapsaro init --member-handle alice@example.com
kapsaro import .env付録 · FAQ
よくある質問
- GPG の導入は必要ですか？
- いいえ。Kapsaro は Ed25519 SSH 鍵を使います。GPG や PGP の鍵管理は不要です。
- クラウドの Secrets Manager は必要ですか？
- 日常の開発・検証用の共有には不要です。暗号化、復号、署名検証などの主要操作はローカルで完結します。ただし本番での即時失効や詳細な監査、動的シークレットが必要な範囲は、専用の Secrets Manager / KMS と併用してください。
- 本番のすべての secret を Kapsaro で管理できますか？
- いいえ。Kapsaro は本番の全 secret を中央統制する基盤ではありません。復号後の値の持ち出し防止、即時失効、詳細な監査ログ、動的シークレット発行が必要な領域は、専用の Secrets Manager / KMS と併用してください。Kapsaro は Git に近い場所での日常的な secret 共有を安全にします。
- 既存の .env から移行できますか？
kapsaro import .envで取り込めます。以降はkapsaro runやkapsaro getで値を使えます。- .env 以外も扱えますか？
- はい。証明書、設定ファイル、任意のバイナリを
kapsaro encryptとkapsaro decryptで扱えます。 - 脱退したメンバーから過去の secret を回収できますか？
- 一度正当に復号された secret を後から回収することはできません。Kapsaro は過去の開示履歴を可視化し、rotation が必要な値を判断しやすくします。
- Kapsaro は無料ですか？
- はい。Apache License 2.0 のオープンソースソフトウェアです。保証はなく、利用は自己責任です。