Self-hosted secrets, wachtwoorden en certificaten voor Kubernetes. AES-256-GCM in rust, PAT-gebaseerde machine-authenticatie, CLI + GitHub Action + K8s sync CronJob, Keycloak SSO. Het self-hosted alternatief voor Doppler — vandaag in productie bij Sensey.
CLI, UI, GitHub Action, and PAT-authenticated machines write encrypted secrets
AES-256-GCM ciphertext at rest, scoped per organization, project, and environment
Runs every 2 minutes inside each cluster, pulls scoped secrets, writes to K8s
Annotated for Stakater Reloader — pods auto-restart on content change
Kagi is hoe Sensey elke secret, elk wachtwoord en elk certificaat beheert over al onze Kubernetes-clusters. Elke productie-credential die hier beschreven staat loopt vandaag door Kagi — geleverd aan pods via een sync CronJob en zonder downtime geroteerd dankzij Stakater Reloader. We hebben het gebouwd omdat we het zelf nodig hadden.
AES-256-GCM in rust, per-organisatie scoping, en een project- + omgevingshiërarchie. Soft-delete met volledig audit trail — jij bezit de data en jij bezit de sleutels.
Een CronJob synchroniseert Kagi-projecten elke twee minuten naar Kubernetes Secrets. Pods laden automatisch opnieuw via Stakater Reloader-annotaties, zodat credentials roteren zonder handmatige restarts of downtime.
Personal Access Tokens (vv_-prefix, SHA-256 gehasht) met optionele verloopdatum en organisatie-scoping. Dezelfde tokens drijven de CLI, CI/CD-pipelines en in-cluster sync-jobs aan.
De kagi Go CLI komt via Homebrew. Een GitHub Action injecteert secrets in $GITHUB_ENV, kagi run -- <cmd> verpakt lokale dev-commando's, en .env bulk import/export houdt bestaande workflows intact.
CLI, UI, GitHub Action, and PAT-authenticated machines write encrypted secrets
AES-256-GCM ciphertext at rest, scoped per organization, project, and environment
Runs every 2 minutes inside each cluster, pulls scoped secrets, writes to K8s
Annotated for Stakater Reloader — pods auto-restart on content change
Engineer or CI writes secret via CLI, UI, or GitHub Action
AES-256-GCM encryption using per-organization data key
Persisted as ciphertext in Postgres with audit metadata
CronJob pulls scoped project into in-cluster Kubernetes Secret
Pods mount the updated Secret as env vars or files
Stakater Reloader restarts affected Deployments on content change
Platform-engineers die Doppler of Vault vervangen door een self-hosted, Kubernetes-native alternatief dat ze volledig in eigen beheer hebben
DevOps-teams die GitOps-vriendelijke secret-levering nodig hebben met automatische pod-reloads en zero-downtime-rotatie
Security-bewuste MKB's die volledige controle willen over hun encryptiesleutels, audit trail en data-residency
Sluit je aan bij de founding circle en draai hetzelfde secrets-platform waarmee Sensey zijn eigen Kubernetes-workloads beschermt.
Vraag Vroegtijdige Toegang