Alternative à Doppler : où partir et comment sortir tes secrets proprement

Pourquoi partir sur Infisical. C'est la seule destination de cette liste qui sait aller chercher tes secrets chez Doppler toute seule. La logique te sera familière : des projets, des environnements, des synchronisations vers tes plateformes. La différence de fond, c'est la licence. Le cœur d'Infisical est sous licence MIT et s'auto-héberge gratuitement. Tu peux donc commencer sur le service hébergé, puis rapatrier l'outil sur tes serveurs le jour où la confiance dans un tiers devient un sujet.

Pour qui. L'équipe de développement qui aime Doppler pour son confort mais veut sortir du tout hébergé, ou qui veut des secrets dynamiques (des identifiants créés à la demande puis révoqués) et la rotation automatique, que Doppler ne lui offre pas à son niveau de plan.

Pour qui ce n'est pas fait. L'équipe qui a beaucoup de comptes de service et peu d'humains. Infisical facture chaque identité, humaine ou machine. Chez Doppler, tes 15 robots de déploiement ne coûtaient rien ; ici, chacun compte.

Sa limite. Le plan gratuit s'arrête à 5 identités et 3 environnements, sans rotation, sans secrets dynamiques, sans SSO. Le plan Pro coûte 20 $ par identité et par mois à l'année (23 $ au mois), et c'est le plan Advanced, à 40 $ (46 $ au mois), qui ouvre la rotation et les secrets dynamiques. Fais le calcul : 10 développeurs et 5 comptes de service en Pro, c'est 300 $ par mois, plus que les 210 $ de Doppler Team pour les mêmes 10 humains.

Comment migrer vers Infisical. Crée un jeton dans Doppler (personnel ou de service), puis déclare-le dans Infisical comme connexion d'application Doppler. Dans ton projet, choisis d'ajouter des secrets, puis l'option d'ajout depuis Doppler, sélectionne le projet et la config Doppler, et lance l'import. Chaque import prend une config et la range dans un seul environnement : pour 3 projets à 4 configs, compte 12 imports. Les configs racine et les branches sont prises en charge. La documentation ne dit pas comment l'import traite les doublons et les références entre secrets : fais l'essai sur une config échantillon avant le reste.

Son prix. Gratuit jusqu'à 5 identités, Pro à 20 $ par identité et par mois à l'année, Advanced à 40 $, Enterprise sur devis. Essai de 30 jours sans carte bancaire.

Pourquoi partir sur Bitwarden Secrets Manager. Pour le prix, tout simplement. Le plan Teams coûte 6 $ par utilisateur et par mois, contre 21 $ chez Doppler Team. À 10 développeurs, la facture passe de 210 $ à 60 $ par mois. Le stockage de secrets est illimité, et le produit vient d'un éditeur dont le gestionnaire de mots de passe est souvent déjà installé dans l'entreprise. Si tu quittes aussi Bitwarden côté mots de passe, notre guide pour quitter Bitwarden traite l'autre moitié du sujet.

Pour qui. La petite équipe qui stocke des secrets statiques (clés d'API, mots de passe de base, jetons) et veut une facture simple. Le plan gratuit couvre 2 utilisateurs, 3 projets et 3 comptes machine : de quoi faire tourner un produit personnel ou un premier projet.

Pour qui ce n'est pas fait. L'équipe qui cherche des secrets dynamiques ou de la rotation automatique : ce n'est pas le terrain de l'outil. Ni celle qui vivait des synchronisations Doppler vers dix plateformes : l'outil est plus sobre de ce côté.

Sa limite. Les comptes machine sont comptés. Teams en inclut 20, puis chaque compte en plus coûte 1 $ par mois. Enterprise, à 12 $ par utilisateur, monte à 50 comptes machine et ajoute le SSO, le provisionnement SCIM et l'auto-hébergement. Les prix affichés sont en dollars, sur un abonnement annuel, hors taxes.

Comment migrer vers Bitwarden Secrets Manager. Aucun import Doppler intégré. Exporte chaque config Doppler en JSON, puis recrée les secrets dans un projet Bitwarden avec un petit script qui lit ce JSON. Crée un compte machine par application, avec accès à son seul projet, et remplace les jetons de service Doppler par ces comptes dans ta CI.

Son prix. Gratuit pour 2 utilisateurs, Teams à 6 $ par utilisateur et par mois, Enterprise à 12 $.

Pourquoi partir sur AWS Secrets Manager. Beaucoup d'équipes synchronisent Doppler vers AWS Secrets Manager, puis leurs services lisent AWS. Un utilisateur le dit franchement sur un forum : peut-être que Secrets Manager seul leur suffirait. Si tes applications tournent déjà chez AWS, tu supprimes un maillon, une facture et un point de panne. Les droits passent par IAM, que ton équipe connaît déjà.

Pour qui. L'équipe dont toute la production vit chez AWS et qui a peu de développeurs à servir en local. Les nouveaux clients AWS reçoivent jusqu'à 200 $ de crédits de l'offre gratuite.

Pour qui ce n'est pas fait. L'équipe répartie sur plusieurs clouds, ou celle qui tient à l'expérience locale de Doppler (une commande, et les variables sont là). AWS ne te donne pas d'équivalent clé en main pour le poste du développeur.

Sa limite. Le prix suit le nombre de secrets : 0,40 $ par secret et par mois, plus 0,05 $ pour 10 000 appels. Et tu t'enfermes un peu plus chez AWS.

Comment migrer vers AWS Secrets Manager. Exporte chaque config Doppler en JSON et range-la telle quelle dans un seul secret AWS, au format JSON. C'est l'astuce qui change la facture : 300 valeurs rangées une par une coûtent 120 $ par mois, les mêmes valeurs regroupées en 12 secrets (3 projets, 4 configs) coûtent 4,80 $. Côté application, lis le secret au démarrage et remplace doppler run par cette lecture. Si tu automatises AWS avec Make, nos scénarios Make pour AWS KMS et les secrets donnent des exemples.

Son prix. 0,40 $ par secret et par mois, 0,05 $ pour 10 000 appels, aucun prix par utilisateur.

Pourquoi partir sur OpenBao ou Vault. C'est la réponse la plus directe au reproche « Doppler n'existe qu'hébergé ». Tes secrets restent sur tes serveurs, et tu gagnes des fonctions que Doppler n'a pas : secrets dynamiques (des identifiants de base de données créés pour une heure puis révoqués), chiffrement en service, baux à durée de vie. OpenBao est le dérivé libre de Vault, sous licence MPL 2.0, gratuit. Vault Community reste gratuit pour un usage interne, sous licence BSL.

Pour qui. L'équipe qui a déjà quelqu'un pour exploiter de l'infrastructure, et pour qui la confiance dans un tiers est le vrai motif de départ.

Pour qui ce n'est pas fait. La petite équipe qui a choisi Doppler justement pour ne rien exploiter. Ici, tu gères le descellement après redémarrage, le stockage, les mises à jour, les politiques d'accès. Si personne ne veut porter l'astreinte, ce n'est pas ton outil.

Sa limite. OpenBao n'a pas d'offre hébergée officielle. Côté Vault, la version hébergée HCP Vault Dedicated coûte environ 450 $ par mois pour un simple cluster de développement : plus cher que Doppler Team pour une équipe de 20 personnes. Notre guide pour quitter HashiCorp Vault détaille ces deux options et leurs écarts.

Comment migrer vers OpenBao. Pas d'import Doppler. Exporte chaque config en JSON, puis écris-la dans le moteur de stockage clé-valeur, un chemin par projet et par config (par exemple projet/production). Crée une politique et une méthode de connexion par application, puis remplace doppler run par l'agent ou par un appel à l'API au démarrage.

Son prix. OpenBao est gratuit, Vault Community aussi en interne. Ton vrai coût, ce sont les serveurs et le temps de l'équipe.

Pourquoi partir sur Azure Key Vault. Même logique qu'AWS : si tes applications tournent sur Azure, Key Vault est déjà à côté d'elles. Le coffre gère aussi des clés et des certificats, ce que Doppler ne fait pas.

Pour qui. L'entreprise déjà sous Microsoft 365 et Azure, dont l'équipe sécurité préfère un service du même fournisseur à un outil de plus à auditer.

Pour qui ce n'est pas fait. Le développeur qui veut une interface pensée pour lui, avec des environnements et des branches comme chez Doppler. Key Vault est un coffre, pas un outil de gestion de configuration.

Sa limite. Pas de notion d'environnement : tu crées un coffre par environnement, ou tu le reflètes dans le nom des secrets. Et pas de secrets dynamiques à la manière de Vault.

Comment migrer vers Azure Key Vault. Exporte chaque config Doppler en JSON, puis crée un secret Azure par valeur avec un script. Range une config par coffre (par exemple un coffre de production, un de recette) pour garder la séparation des droits que te donnait Doppler. Côté application, lis les secrets au démarrage à la place de doppler run.

Son prix. Paiement à l'usage : 0,03 $ pour 10 000 opérations sur les secrets. Aucun prix par utilisateur.

Pourquoi partir sur Akeyless. Akeyless garde le confort d'un service géré, mais avec un plan gratuit qui va plus loin que celui de Doppler sur un point : les secrets dynamiques et la rotation y sont déjà, en petite quantité. Il se positionne aussi face à Doppler sur l'hébergement, avec une offre hébergée ou hybride.

Pour qui. L'équipe qui veut découvrir les secrets dynamiques sans monter un cluster, ou qui a peu de clients à connecter (5 clients, 500 secrets statiques, 5 secrets dynamiques et 5 rotations sur le plan gratuit).

Pour qui ce n'est pas fait. Celui qui part de Doppler à cause du prix et veut connaître sa facture avant de migrer. Au-delà du plan gratuit, Akeyless n'affiche aucun prix.

Sa limite. Le plan gratuit ne garde que 3 jours de journal, comme le plan Developer de Doppler. Et le plan Enterprise est sur devis : demande un chiffre écrit avant d'engager la migration.

Comment migrer vers Akeyless. Pas d'import Doppler. Exporte chaque config en JSON et recrée les secrets par script, en gardant une arborescence par projet et par environnement. Commence par un seul projet pour vérifier que tu restes sous les 500 secrets statiques du plan gratuit.

Son prix. Gratuit avec les limites ci-dessus, Enterprise sur devis.

Pourquoi partir sur dotenvx. C'est une autre philosophie : au lieu de confier tes secrets à un service, tu chiffres tes fichiers .env et tu les ranges dans Git avec ton code. Plus d'appel réseau au démarrage, plus de panne d'un tiers à craindre. Le plan User est gratuit.

Pour qui. Le développeur seul ou la très petite équipe, avec un ou deux projets, qui utilisait Doppler surtout pour partager ses variables entre deux postes et la mise en production.

Pour qui ce n'est pas fait. L'équipe qui a besoin d'un journal d'activité, de droits par personne ou de rotation. Avec des fichiers chiffrés, celui qui a la clé de déchiffrement lit tout le fichier.

Sa limite. Le départ d'un développeur oblige à changer les clés et les secrets : il a gardé une copie du dépôt. Et la gestion des clés de déchiffrement (où les ranger, qui les a) devient ton problème.

Comment migrer vers dotenvx. Exporte chaque config Doppler au format env, directement vers l'emplacement du fichier .env de ton projet, chiffre-le aussitôt avec dotenvx, puis vérifie qu'aucune version en clair n'a été ajoutée à Git. Range la clé de déchiffrement dans les secrets de ta CI, jamais dans le dépôt.

Son prix. User à 0 $, Member à 5 $ par mois, Business à 90 $ par mois, chaque siège supplémentaire à 15 $ par mois.