HashiCorp Vault est un coffre-fort de secrets : il centralise les mots de passe de bases de données, les clés d'API, les certificats et les jetons d'une infrastructure, et décide pour chaque demande qui a le droit de lire quoi. Aucun secret n'est plus éparpillé dans des fichiers de configuration ou des variables de CI.
Chaque Accès Authentifié
Une application, un humain ou un pipeline doit d'abord prouver son identité — jeton JWT d'un job GitLab CI, compte de service Kubernetes, AppRole — puis reçoit des politiques qui listent précisément les chemins autorisés. Staging et production deviennent deux périmètres étanches, pas une simple convention de nommage.
Historique et Audit
Le moteur KV version 2 conserve les versions successives de chaque secret, et le journal d'audit trace chaque lecture. On sait quand une valeur a changé, qui l'a consultée, et l'on peut revenir en arrière après une erreur de saisie.
Vault range les secrets et en contrôle l'accès, mais ne les assainit pas : un mot de passe faible ou partagé entre environnements le reste une fois dans le coffre. Sa mise en place est le bon moment pour une rotation.