Un cloud architect italiano che gestisce 1.000 segreti su AWS paga circa 400 dollari al mese solo per lo storage, prima ancora di contare le chiamate API. Lo stesso volume di operazioni su Azure Key Vault, se si pagano solo le transazioni e non i segreti archiviati, può costare pochi dollari al mese. La differenza, a parità di carico, supera le 100 volte. Non è un errore di calcolo: è il risultato di due modelli di pricing radicalmente diversi, ed è il primo motivo per cui, nell’ottobre 2026, sempre più team italiani ed europei si fermano a confrontare HashiCorp Vault, AWS Secrets Manager, Azure Key Vault e Doppler prima di scegliere dove far vivere le proprie credenziali.
Il tema non è accademico. Nel 2025 e nel 2026 diverse violazioni di alto profilo, comprese alcune che hanno colpito direttamente l’Italia, sono nate da una chiave API lasciata in un repository pubblico o da una credenziale di database mai ruotata. Questo articolo confronta i quattro strumenti di secrets management più usati dalle aziende europee: specifiche tecniche, prezzi reali su tre scenari di carico, dati di affidabilità pubblicati dai vendor, casi d’uso concreti e una guida pratica alla migrazione. L’obiettivo è dare a chi decide un quadro basato su numeri verificabili, non su slogan di marketing.
La scelta arriva in un momento preciso del calendario normativo europeo. Le nuove regole NIS2 impongono a migliaia di soggetti italiani, pubblici e privati, controlli dimostrabili sulla gestione delle identità e delle credenziali privilegiate, con ispezioni ACN già programmate a partire da ottobre 2026. Un secrets manager scelto male, o configurato peggio, non è più solo un rischio tecnico: è una voce che un auditor può segnare come non conforme. Per questo il confronto tra Vault, AWS Secrets Manager, Azure Key Vault e Doppler riguarda tanto gli ingegneri quanto i responsabili di conformità.
Vale la pena chiarire subito un punto: nessuno dei quattro prodotti è “sbagliato”. Ognuno nasce per risolvere un problema leggermente diverso, e la scelta giusta dipende più dall’infrastruttura già esistente in azienda che da una classifica assoluta. È per questo che il confronto si basa su scenari di carico reali, non su un singolo punteggio finale.
Perché la gestione dei segreti è diventata un problema da prima pagina
Un “segreto”, nel linguaggio della sicurezza applicativa, è qualunque credenziale che permette l’accesso a un sistema: una password di database, una chiave API, un token OAuth, un certificato TLS privato. Fino a pochi anni fa queste informazioni finivano spesso in file di configurazione, variabili d’ambiente non cifrate o, nel peggiore dei casi, direttamente nel codice sorgente. Il problema è che il codice sorgente viene copiato, condiviso su GitHub, archiviato in backup e letto da decine di persone nel tempo.
Shattered.io ha documentato più volte le conseguenze di questa prassi. Nel caso della violazione con 28.000 repository Git esposti e 400 chiavi AWS rubate, gli attaccanti non hanno dovuto sfruttare nessuna vulnerabilità software: hanno semplicemente cercato credenziali dimenticate nel codice pubblico. Lo stesso schema si è ripetuto nella fuga di dati di TeamSystem, dove IBAN e credenziali di contabilità cloud sono rimasti esposti per 13 giorni prima della scoperta, e nel breach di LiteLLM, con 153 GB di credenziali rubate attraverso una falla nella catena di fornitura software.
Un secrets manager risolve il problema alla radice: le credenziali non vivono più nel codice, ma in un sistema centralizzato che le cifra, ne traccia l’accesso e, nei casi più avanzati, le genera dinamicamente con una scadenza breve. Il cheat sheet OWASP sulla gestione dei segreti elenca la centralizzazione, la rotazione automatica e l’audit trail come i tre pilastri di qualsiasi strategia seria. I quattro prodotti che confrontiamo in questo articolo affrontano lo stesso problema con filosofie, prezzi e livelli di maturità molto diversi tra loro.
Vault, AWS Secrets Manager, Azure Key Vault e Doppler: chi sono
HashiCorp Vault nasce nel 2015 come progetto open source e diventa lo standard de facto per la gestione dei segreti multi-cloud. Nel 2023 HashiCorp passa dalla licenza Mozilla Public License alla Business Source License, un cambiamento che riduce la libertà d’uso commerciale della versione open. Nel 2025 l’acquisizione di HashiCorp da parte di IBM, annunciata nell’aprile 2024 per circa 6,4 miliardi di dollari, si chiude formalmente: oggi su G2 il prodotto viene elencato come “IBM Vault (formerly HashiCorp Vault)”, un dettaglio che pesa su chi valuta la continuità del supporto a lungo termine.
AWS Secrets Manager è il servizio nativo di Amazon Web Services, lanciato nel 2018 per sostituire l’uso improprio di Parameter Store come repository di credenziali. Si integra direttamente con IAM, RDS, Lambda e la quasi totalità dei servizi AWS, ma il suo modello di prezzo per segreto memorizzato lo rende costoso a grandi volumi.
Azure Key Vault copre tre funzioni in un solo servizio: gestione dei segreti, delle chiavi di cifratura e dei certificati. È il servizio di riferimento per chi opera su Microsoft Azure e punta tutto su un prezzo per operazione invece che per segreto archiviato, una scelta che lo rende molto competitivo per carichi con pochi segreti ma milioni di letture al mese.
Doppler è il più giovane dei quattro e si rivolge soprattutto a team di sviluppo che vogliono un’esperienza semplice: una dashboard unica, oltre 30 integrazioni native con piattaforme come Vercel, GitHub Actions e Netlify, e un modello di prezzo per utente invece che per segreto o per operazione. Non offre dynamic secrets né un’opzione self-hosted, il che lo colloca in una fascia diversa rispetto ai tre concorrenti più enterprise.
Un dettaglio che spesso viene trascurato nelle valutazioni rapide riguarda il modo in cui ciascun prodotto si integra nel ciclo di vita delle infrastrutture. Vault espone namespace separati per isolare team e ambienti all’interno della stessa installazione, una funzione pensata per grandi organizzazioni con decine di divisioni interne. AWS Secrets Manager si collega direttamente ai template di rotazione predefiniti per RDS, Redshift e DocumentDB, il che riduce il lavoro di scrittura di codice personalizzato per chi resta dentro l’ecosistema Amazon. Azure Key Vault, dal suo lato, si richiama facilmente dentro i template ARM e Bicep, così che un segreto possa essere referenziato direttamente nella definizione dell’infrastruttura come codice senza mai comparire in chiaro. Doppler, infine, organizza i segreti per progetto e ramo (branch), rispecchiando il flusso Git che molti team usano già per il codice applicativo.
La tabella comparativa completa: specifiche tecniche
Prima di guardare ai prezzi conviene mettere a confronto le caratteristiche tecniche dei quattro sistemi. La tabella seguente raccoglie 14 parametri verificati sulla documentazione ufficiale di ciascun fornitore, aggiornata a ottobre 2026.
| Parametro | HashiCorp Vault | AWS Secrets Manager | Azure Key Vault | Doppler |
|---|---|---|---|---|
| Tipo di hosting | Self-hosted o HCP gestito | Gestito (solo AWS) | Gestito (solo Azure) | Gestito (solo cloud Doppler) |
| Licenza / modello | Business Source License (community) + Enterprise | Proprietario AWS | Proprietario Microsoft | Proprietario, SaaS |
| Dynamic secrets | Sì, oltre 20 backend (database, cloud, PKI) | Limitato, solo rotazione pianificata | No, solo rotazione pianificata | No |
| Rotazione automatica | Sì, nativa e dinamica | Sì, via Lambda | Sì, via Event Grid | Sì, tramite integrazioni |
| Multi-cloud nativo | Sì | No (solo AWS) | No (solo Azure) | Sì (agnostico al cloud) |
| Supporto Kubernetes | Sì, CSI driver e Agent Injector | Sì, tramite External Secrets Operator | Sì, tramite External Secrets Operator | Sì, operator dedicato |
| HSM / FIPS 140-2 | Sì (Enterprise con HSM auto-unseal) | Sì (AWS KMS sottostante) | Sì (tier Premium con HSM dedicato) | No |
| SLA di uptime pubblicato | Non pubblicato per la community edition | 99,99% | 99,99% | Non pubblicato pubblicamente |
| Audit log dettagliato | Sì, nativo | Sì, via CloudTrail | Sì, via Azure Monitor | Sì, 90 giorni su piano Team |
| Versioning dei segreti | Sì | Sì | Sì | Sì, con rollback |
| RBAC granulare | Sì, policy HCL avanzate | Sì, via IAM | Sì, via Azure RBAC + Access Policy | Sì, a livello di progetto |
| Accesso via CLI/API | Sì, CLI e API REST | Sì, CLI e SDK | Sì, CLI e SDK | Sì, CLI e integrazioni |
| Regioni EU disponibili | Qualsiasi (self-hosted) o regioni HCP EU | Sì, incluse Milano e Francoforte | Sì, incluse Italia Nord e Francia Centrale | Sì, regione EU su piano Team |
| Rating G2 (2026) | 4,5/5 su 232 recensioni (come IBM Vault) | 4,3/5 su recensioni pubbliche AWS | 4,4/5 su recensioni pubbliche Azure | 4,7/5 su recensioni pubbliche Doppler |
Il dato che salta all’occhio è la distribuzione delle funzioni dinamiche: solo Vault genera credenziali temporanee per database e servizi cloud su richiesta, un approccio che elimina del tutto le password statiche di lunga durata. AWS e Azure si limitano a ruotare segreti esistenti secondo una pianificazione, mentre Doppler non tocca nemmeno questo terreno e si concentra sulla distribuzione e sulla gestione multi-ambiente dei segreti già creati altrove.
Un altro elemento che spesso decide la partita in una gara d’appalto pubblica è la certificazione HSM, perché molti capitolati italiani nel settore bancario e sanitario la richiedono esplicitamente. Qui la tabella mostra con chiarezza che solo tre prodotti su quattro la offrono in qualche forma, e Doppler resta escluso per costruzione. Allo stesso modo, il supporto Kubernetes nativo è ormai un requisito minimo più che un vantaggio competitivo: tutti e quattro i fornitori lo coprono, ma con livelli di integrazione diretta molto diversi, come vedremo più avanti parlando di sidecar e operator.
Prezzi reali: quanto costano 100, 1.000 e 10.000 segreti
Qui le differenze tra i quattro modelli diventano evidenti. AWS Secrets Manager applica 0,40 dollari per segreto al mese più 0,05 dollari ogni 10.000 chiamate API. Azure Key Vault, secondo la sua pagina prezzi ufficiale, non applica alcun costo di storage per segreto e fattura solo 0,03 dollari ogni 10.000 operazioni nel tier standard. Doppler, come indicato sulla sua pagina prezzi, fattura per utente: piano Developer gratuito fino a 3 utenti (8 dollari al mese per ogni utente aggiuntivo), piano Team a 21 dollari per utente al mese. HashiCorp Vault Community è gratuito da auto-ospitare, ma HCP Vault Dedicated parte da circa 1.152 dollari al mese nel tier Essentials più 72,92 dollari per client al mese, mentre Vault Enterprise self-managed richiede un contratto commerciale.
| Scenario | HashiCorp Vault | AWS Secrets Manager | Azure Key Vault | Doppler |
|---|---|---|---|---|
| 100 segreti, 100.000 letture/mese | Community: licenza gratuita, infrastruttura a carico proprio | ~40$/mese storage + ~0,50$ API | ~0,30$/mese (solo operazioni) | Gratuito fino a 3 utenti |
| 1.000 segreti, 1 milione letture/mese | HCP Vault Dev: ~22$/mese + infrastruttura | ~400$/mese storage + ~5$ API = ~405$ | ~3$/mese (solo operazioni) | 21$/utente/mese, piano Team |
| 10.000 segreti, 10 milioni letture/mese | HCP Vault Essentials: ~1.152$/mese + 72,92$/client | ~4.000$/mese storage + ~50$ API = ~4.050$ | ~30$/mese (solo operazioni) | 21$/utente/mese, indipendente dai segreti |
| Costo “nascosto” tipico | 10-20% del tempo di un ingegnere senior (15.000-40.000$/anno) | Basso, servizio totalmente gestito | Basso, servizio totalmente gestito | Nessuna gestione dinamica, costo operativo minimo |
Nello scenario a 1.000 segreti con un milione di letture mensili, AWS Secrets Manager costa circa 405 dollari al mese contro i 3 dollari di Azure Key Vault: una differenza di oltre 130 volte a parità di carico. Il motivo è semplice: AWS fa pagare per ogni segreto archiviato, Azure fa pagare solo per le operazioni compiute. Chi ha pochi segreti letti moltissime volte, il caso tipico di microservizi che leggono la stessa credenziale di database migliaia di volte al giorno, trova Azure drammaticamente più economico. Chi ha invece migliaia di segreti distinti con poche letture ciascuno può trovare conveniente valutare alternative come Vault o soluzioni ibride.
Il costo di Vault merita una nota separata. La licenza community è gratuita, ma il self-hosting comporta infrastruttura, backup, alta disponibilità, patching e, soprattutto, tempo di un ingegnere qualificato. Diverse analisi di settore stimano questo costo nascosto tra il 10% e il 20% del tempo di un senior engineer, equivalente a circa 15.000-40.000 dollari l’anno in una organizzazione europea di medie dimensioni. Per questo motivo molte aziende scelgono HCP Vault gestito nonostante il prezzo più alto rispetto alla community edition.
Benchmark e dati di affidabilità: cosa dicono le fonti indipendenti
Per un secrets manager il benchmark più rilevante non è la velocità di calcolo ma l’affidabilità e il livello di fiducia della community tecnica. Tre fonti indipendenti offrono numeri verificabili. Primo: la pagina SLA ufficiale di AWS garantisce il 99,99% di disponibilità mensile per regione, con credito del 25% se il servizio scende sotto il 99%. Secondo: la documentazione ufficiale di Azure Key Vault riporta lo stesso impegno al 99,99%, un livello che Microsoft ha innalzato dal precedente 99,9% alcuni anni fa e mantenuto da allora. Terzo: le recensioni aggregate su G2 collocano IBM Vault, ex HashiCorp Vault, a 4,5 stelle su 232 recensioni verificate, Doppler a 4,7 stelle, mentre AWS e Azure si attestano rispettivamente a 4,3 e 4,4 stelle nelle rispettive categorie di prodotto cloud.
Un quarto punto di riferimento riguarda la maturità delle funzioni dinamiche. La documentazione tecnica di Vault elenca oltre 20 backend per la generazione dinamica di credenziali, dai database relazionali ai provider cloud fino alle infrastrutture PKI interne. Nessuno dei tre concorrenti copre lo stesso ventaglio di integrazioni dinamiche, un fattore che pesa molto per le aziende regolamentate che devono dimostrare la rotazione continua delle credenziali privilegiate durante un audit di conformità.
Va detto con chiarezza che AWS e Azure non pubblicano benchmark di latenza comparativi indipendenti, e nessuno dei quattro vendor rilascia dati di throughput verificati da terze parti con metodologia pubblica. Chi valuta la latenza di recupero dei segreti deve quindi condurre un proprio test nella propria regione, perché i numeri di marketing non sostituiscono una misurazione reale sul proprio carico applicativo.
Un ultimo elemento di confronto riguarda la frequenza di incidenti pubblici di disponibilità. Sia AWS che Azure hanno storicamente comunicato con trasparenza eventuali interruzioni dei rispettivi servizi di gestione segreti attraverso le pagine di stato regionali, mantenendo nel tempo una reputazione di stabilità coerente con l’SLA pubblicato. Vault, essendo nella maggior parte dei casi self-hosted, sposta la responsabilità della disponibilità sull’azienda che lo gestisce: non esiste un singolo “stato del servizio” da consultare, perché ogni installazione è un caso a sé. Questo è un argomento a favore delle soluzioni gestite per i team che non vogliono assumersi anche l’onere dell’affidabilità operativa, oltre a quello della configurazione.
Sicurezza, compliance e il nodo dell’acquisizione IBM
Tutti e quattro i prodotti cifrano i segreti a riposo e in transito, ma differiscono su un punto che per le aziende italiane sotto NIS2 conta parecchio: dove risiedono fisicamente i dati. AWS Secrets Manager e Azure Key Vault offrono regioni europee dedicate, incluse Milano e Francoforte per AWS e Italia Nord e Francia Centrale per Azure, con dati che non lasciano mai l’Unione Europea se configurati correttamente. Vault self-hosted dà il controllo più totale, perché l’azienda decide esattamente dove far girare l’infrastruttura, ma richiede anche la responsabilità piena della sicurezza fisica e logica. Doppler, essendo un servizio SaaS centralizzato, offre una regione EU sul piano Team ma non consente l’hosting on-premise.
Il cambiamento più rilevante del 2025 per chi usa Vault è l’acquisizione da parte di IBM. L’operazione, annunciata nell’aprile 2024 per circa 6,4 miliardi di dollari e chiusa nel corso del 2025, ha già prodotto il primo effetto visibile: il prodotto è ora commercializzato come IBM Vault nei canali ufficiali e nelle schede G2, pur mantenendo per ora la stessa base tecnica. Per i team che pianificano un’infrastruttura a 5-10 anni, questo significa valutare non solo le funzioni attuali ma anche la roadmap di un prodotto passato da startup indipendente a divisione di un colosso enterprise in meno di due anni.
Sul fronte della certificazione HSM, Vault Enterprise e Azure Key Vault Premium offrono entrambi moduli hardware dedicati conformi a FIPS 140-2, un requisito spesso obbligatorio per il settore bancario e sanitario. AWS Secrets Manager si appoggia a AWS KMS, che a sua volta usa HSM certificati, ma non espone un controllo HSM diretto come le altre due piattaforme enterprise. Doppler non offre alcuna opzione HSM, il che lo esclude automaticamente dalle gare d’appalto che richiedono questo livello di certificazione.
Dynamic secrets e rotazione automatica: la differenza che pesa più di tutte
Il concetto di dynamic secret è probabilmente la singola caratteristica tecnica che separa di più Vault dagli altri tre prodotti. Invece di memorizzare una password di database fissa e ruotarla ogni tanto, Vault genera una credenziale nuova ogni volta che un’applicazione ne ha bisogno, con una scadenza che può essere di pochi minuti o poche ore. Quando la credenziale scade, smette semplicemente di funzionare, senza bisogno di un processo di rotazione manuale o pianificato.
AWS Secrets Manager e Azure Key Vault adottano invece un modello di rotazione pianificata: una funzione Lambda o un trigger Event Grid cambia periodicamente la password, ma la credenziale resta valida e statica tra una rotazione e l’altra. È un approccio più semplice da implementare, perfettamente adeguato per la maggior parte delle applicazioni web, ma meno robusto contro un attaccante che riesce a intercettare una credenziale nella finestra tra due rotazioni.
Doppler, da parte sua, non genera né ruota dinamicamente nulla: distribuisce segreti che l’azienda ha già creato altrove, con il valore aggiunto di sincronizzarli automaticamente su decine di piattaforme diverse. Per un team che cerca principalmente di eliminare i file .env sparsi tra decine di repository, questo basta e avanza. Per un’azienda fintech che deve dimostrare a un revisore la rotazione continua delle credenziali privilegiate, non è sufficiente, e la scelta ricade quasi sempre su Vault.
Multi-cloud, Kubernetes e integrazioni CI/CD
Le aziende europee che operano su più cloud contemporaneamente, una pratica sempre più comune dopo le spinte normative verso la sovranità dei dati, trovano in Vault l’unica soluzione pensata nativamente per questo scenario. Vault non appartiene a nessun cloud specifico e può autenticare, generare credenziali e applicare policy su AWS, Azure, Google Cloud e infrastrutture on-premise con la stessa configurazione di base.
AWS Secrets Manager e Azure Key Vault restano invece ancorati al proprio ecosistema. È possibile usarli in scenari multi-cloud attraverso l’External Secrets Operator per Kubernetes, un progetto open source che sincronizza i segreti dal provider cloud verso i Secret di Kubernetes, ma questo introduce un livello di complessità aggiuntivo e un punto di dipendenza in più nella catena.
Doppler compensa la mancanza di funzioni dinamiche con un’ampiezza di integrazioni CI/CD che nessuno degli altri tre eguaglia: oltre 30 connettori nativi con Vercel, Netlify, GitHub Actions, CircleCI e decine di altre piattaforme, pensati per inserirsi nel flusso di lavoro di un team di sviluppo senza richiedere competenze DevOps avanzate. Per i progetti Kubernetes, tutti e quattro i prodotti offrono un operator dedicato, ma solo Vault include anche un sidecar injector nativo che inietta segreti direttamente nei pod senza passare da un ConfigMap intermedio.
Cinque fughe di segreti che hanno fatto danni reali
I numeri di pricing hanno senso solo se si capisce cosa succede quando la gestione dei segreti fallisce. Ecco cinque casi concreti, tre italiani e due internazionali, che mostrano il costo reale di una gestione debole delle credenziali.
- Toyota, 2022: una chiave di accesso è rimasta esposta in codice sorgente pubblico per circa cinque anni, esponendo i dati di centinaia di migliaia di clienti prima che Toyota se ne accorgesse e la revocasse.
- Codecov, 2021: un attaccante ha modificato lo script Bash Uploader di Codecov sfruttando una credenziale Docker esposta, esfiltrando segreti CI/CD da migliaia di aziende clienti. Tra le vittime indirette c’è stata la stessa HashiCorp, costretta a revocare e rigenerare la propria chiave di firma del codice GPG.
- 28.000 repository Git esposti, Italia/Europa 2026: shattered.io ha documentato come 400 chiavi AWS siano state recuperate da repository pubblici dimenticati, dimostrando che il problema non è mai scomparso.
- TeamSystem, 2026: IBAN e credenziali di contabilità cloud sono rimasti esposti per 13 giorni di silenzio prima della notifica, un caso che ha coinvolto direttamente clienti business italiani.
- LiteLLM, 2026: una violazione nella catena di fornitura software ha portato al furto di 153 GB di credenziali, mostrando come anche i progetti usati per orchestrare modelli AI possano diventare un vettore di attacco verso i segreti aziendali.
Il filo comune a tutti questi casi non è una vulnerabilità zero-day sofisticata, ma una credenziale statica, mai ruotata, lasciata in un posto sbagliato. Un secrets manager con dynamic secrets avrebbe reso inutile buona parte di queste credenziali entro poche ore dalla loro creazione, perché sarebbero già scadute al momento del furto.
C’è anche una lezione meno ovvia in questi episodi: il breach di Codecov dimostra che il problema non riguarda solo chi sceglie male il proprio secrets manager, ma anche chi si fida ciecamente di un fornitore terzo senza isolare le credenziali più sensibili. HashiCorp, l’azienda che produce proprio lo strumento pensato per evitare questo tipo di incidenti, è finita vittima dello stesso schema attraverso una dipendenza nella propria catena di build. È il motivo per cui la rotazione automatica non è un lusso riservato alle grandi banche, ma una rete di sicurezza che limita il danno anche quando la prima linea di difesa fallisce altrove.
Quale scegliere: sette casi d’uso concreti
Le tabelle e i prezzi aiutano a capire il quadro generale, ma la decisione finale cambia parecchio in base al contesto specifico dell’azienda: cloud già in uso, dimensione del team, settore regolamentato o meno. Ecco sette scenari ricorrenti tra i lettori italiani e come si posizionano i quattro prodotti in ciascuno.
- Startup mono-cloud su AWS: AWS Secrets Manager resta la scelta più semplice, con integrazione nativa in IAM e Lambda, anche se il costo cresce rapidamente oltre qualche centinaio di segreti.
- Azienda enterprise su Microsoft Azure: Azure Key Vault offre il miglior rapporto tra prezzo e integrazione con Active Directory, Azure Policy e Microsoft Defender for Cloud.
- Gruppo multi-cloud o infrastruttura ibrida on-premise: Vault, in versione Enterprise o HCP Dedicated, è l’unica opzione pensata per funzionare in modo identico su AWS, Azure, Google Cloud e data center privati.
- Team di sviluppo piccolo senza competenze DevOps dedicate: Doppler riduce il tempo di configurazione a pochi minuti, con un prezzo prevedibile per utente che non dipende dal numero di segreti.
- Fintech o banca con requisiti di rotazione continua: i dynamic secrets di Vault, applicati ai database di produzione, riducono drasticamente la superficie di attacco delle credenziali privilegiate.
- Pubblica amministrazione italiana sotto NIS2: Vault self-hosted su infrastruttura europea garantisce il controllo più diretto sulla localizzazione fisica dei dati, a fronte di un onere operativo maggiore.
- Agenzia o software house con decine di progetti client diversi: Doppler, grazie al modello a progetti e ambienti separati, semplifica la gestione di segreti per molti clienti senza moltiplicare la fattura per ogni segreto.
Guida alla migrazione tra secrets manager
Passare da un sistema all’altro, o semplicemente da file .env sparsi a un secrets manager vero, segue uno schema abbastanza simile indipendentemente dal prodotto scelto. Ecco i passaggi che riducono il rischio di interruzioni.
- Censire tutti i segreti esistenti, incluse le copie dimenticate in script, pipeline CI/CD e file di configurazione locali.
- Classificare ogni segreto per criticità e proprietario, separando credenziali di produzione da quelle di test.
- Scegliere il sistema target in base al cloud predominante e ai requisiti di compliance, usando le tabelle di questo articolo come riferimento.
- Attivare una fase di doppia scrittura, in cui il vecchio e il nuovo sistema restano sincronizzati per un periodo di transizione.
- Aggiornare le applicazioni per leggere dal nuovo secrets manager tramite SDK, sidecar o CSI driver, iniziando dagli ambienti non critici.
- Ruotare immediatamente ogni credenziale che è stata copiata o letta durante la migrazione, perché il semplice spostamento la espone a un rischio aggiuntivo.
- Verificare l’audit log del nuovo sistema per confermare che tutte le applicazioni leggano correttamente dalla nuova fonte.
- Dismettere il vecchio sistema solo dopo un periodo di osservazione senza errori, tipicamente due o quattro settimane.
Un esempio pratico di lettura dello stesso segreto nei tre sistemi gestiti principali, utile per confrontare la sintassi durante una migrazione:
# HashiCorp Vault
vault kv get -field=password secret/database/produzione
# AWS Secrets Manager
aws secretsmanager get-secret-value --secret-id database/produzione --query SecretString --output text
# Azure Key Vault
az keyvault secret show --vault-name mio-keyvault --name database-produzione --query value -o tsvUn errore comune durante la migrazione è sottovalutare il tempo necessario per aggiornare tutte le pipeline CI/CD che leggono segreti in fase di build o di deploy. Non basta aggiornare l’applicazione in produzione: anche gli script di test, i runner di integrazione continua e i tool di infrastructure as code che referenziano le vecchie credenziali devono puntare al nuovo sistema prima che quello precedente venga disattivato. Pianificare questa fase con due o tre settimane di margine evita l’interruzione più frequente nelle migrazioni di secrets manager: una pipeline dimenticata che fallisce in produzione perché cerca ancora un segreto che non esiste più.
Pro e contro di ciascuna piattaforma
HashiCorp Vault (IBM Vault)
Pro: dynamic secrets con oltre 20 backend, vero multi-cloud, policy di accesso granulari, community tecnica ampia. Contro: curva di apprendimento alta, costo operativo nascosto se self-hosted, incertezza sulla roadmap dopo l’acquisizione IBM, licenza non più completamente open source dal 2023.
AWS Secrets Manager
Pro: integrazione nativa totale con l’ecosistema AWS, SLA al 99,99%, nessuna infrastruttura da gestire. Contro: il prezzo per segreto cresce linearmente e diventa oneroso oltre poche centinaia di credenziali, nessuna funzione dinamica avanzata, lock-in totale su AWS.
Azure Key Vault
Pro: modello di prezzo per operazione estremamente economico su carichi con pochi segreti e molte letture, HSM Premium disponibile, SLA al 99,99%, forte integrazione con Active Directory. Contro: lock-in su Azure, meno flessibile di Vault per scenari dinamici complessi.
Doppler
Pro: configurazione in pochi minuti, prezzo per utente prevedibile, oltre 30 integrazioni native, rating G2 più alto del gruppo. Contro: nessuna opzione self-hosted, nessun dynamic secret, nessuna certificazione HSM, meno adatto a settori fortemente regolamentati.
Il verdetto, con i numeri alla mano
Non esiste un vincitore unico, e chi promette il contrario sta semplificando troppo. Sui numeri raccolti in questo articolo, Azure Key Vault vince nettamente sul prezzo per i carichi tipici delle applicazioni web, con un costo fino a 130 volte inferiore ad AWS Secrets Manager nello scenario a 1.000 segreti e un milione di letture mensili. AWS Secrets Manager resta la scelta più pratica solo per chi è già interamente dentro l’ecosistema Amazon e ha un numero limitato di segreti. Doppler vince nella categoria “time to value”: nessun altro prodotto permette a un team di quattro persone di avere una gestione centralizzata dei segreti funzionante in meno di un’ora.
HashiCorp Vault, ora sotto il cappello IBM, resta l’unica scelta sensata quando contano due cose insieme: la vera indipendenza dal cloud e la generazione dinamica delle credenziali. Il prezzo più alto e la complessità operativa si giustificano solo se l’azienda ha davvero bisogno di queste due funzioni, non per abitudine o per moda tecnica. Per il mercato italiano, dove la pressione normativa di NIS2 spinge sempre più aziende a dimostrare controlli concreti sulla rotazione delle credenziali, Vault enterprise o HCP Vault con regione EU restano spesso l’opzione più defendibile in un audit, anche a un prezzo superiore rispetto alle alternative gestite dai singoli cloud.
Riassumendo i quattro verdetti in una riga ciascuno: Azure Key Vault per chi vuole il prezzo più basso a parità di traffico, AWS Secrets Manager per chi è già tutto dentro AWS e preferisce zero attrito operativo, Doppler per chi vuole essere operativo in un pomeriggio senza assumere un ingegnere dedicato alla piattaforma, e Vault per chi ha davvero bisogno di credenziali dinamiche multi-cloud e può permettersi la complessità che questo comporta. Nessuna di queste scelte è sbagliata se corrisponde al proprio scenario reale: il rischio vero è copiare la scelta di un’altra azienda senza controllare se il proprio carico di lavoro e il proprio budget assomigliano davvero al suo.
Domande frequenti
Qual è il secrets manager più economico per una piccola azienda?
Per un team con pochi segreti e un budget limitato, Doppler (gratuito fino a 3 utenti) o Azure Key Vault (pochi dollari al mese per carichi tipici) sono le opzioni più accessibili. AWS Secrets Manager diventa costoso più rapidamente a causa del prezzo per segreto archiviato.
HashiCorp Vault è ancora open source dopo l’acquisizione IBM?
La community edition resta disponibile sotto Business Source License, una licenza che limita alcuni usi commerciali rispetto alla precedente Mozilla Public License adottata fino al 2023. Non è più una licenza open source in senso stretto secondo la definizione OSI.
AWS Secrets Manager e Azure Key Vault supportano la rotazione automatica delle password?
Sì, entrambi la supportano tramite funzioni serverless (AWS Lambda per Secrets Manager, Event Grid per Azure Key Vault), ma si tratta di rotazione pianificata su credenziali statiche, non di generazione dinamica come in Vault.
Cos’è un dynamic secret e perché solo Vault lo offre in modo maturo?
Un dynamic secret è una credenziale generata al momento della richiesta, con scadenza breve, che smette di funzionare automaticamente senza bisogno di revoca manuale. Vault lo supporta su oltre 20 backend diversi. AWS e Azure si limitano invece alla rotazione periodica di credenziali statiche.
Doppler è adatto a un’azienda enterprise con requisiti di compliance stringenti?
Solo in parte. Doppler offre audit log e RBAC, ma manca di certificazione HSM e di opzioni self-hosted, due elementi spesso richiesti dalle gare d’appalto in settori bancario, sanitario e pubblico.
Quanto costa davvero gestire HashiCorp Vault self-hosted rispetto alla licenza gratuita?
Al netto della licenza community gratuita, diverse analisi di settore stimano un costo operativo equivalente al 10-20% del tempo di un ingegnere senior, pari a circa 15.000-40.000 dollari l’anno in un’organizzazione europea di medie dimensioni, tra infrastruttura, patching e alta disponibilità.
I dati gestiti da questi servizi restano fisicamente in Europa?
AWS Secrets Manager e Azure Key Vault offrono regioni europee dedicate (tra cui Milano, Francoforte, Italia Nord e Francia Centrale) che mantengono i dati nell’UE se configurate correttamente. Vault self-hosted lascia la scelta della localizzazione interamente all’azienda. Doppler offre una regione EU solo sul piano Team.
Perché AWS e Azure chiamano i loro servizi con nomi diversi (Secrets Manager e Key Vault)?
Il nome riflette l’ambito storico del prodotto: Key Vault di Azure è nato per gestire chiavi di cifratura e certificati e ha aggiunto i segreti generici in seguito, mentre Secrets Manager di AWS è nato specificamente per credenziali applicative. Oggi entrambi coprono casi d’uso molto simili.
