Des contrats adaptés
Les places, les coffres et le stockage sont définis par accord, avec un registre en ajout seul de chaque avenant.
- Places minimales
Des secrets et des mots de passe fiables pour votre équipe, dont vous pouvez prouver qu'ils fonctionnent toujours.
Une plateforme unique pour les personnes et les machines. PulsVault vérifie que les identifiants stockés s'authentifient toujours, fournit aux pipelines CI des clés limitées plutôt que partagées, et conserve un enregistrement à altération détectable des actions sensibles pour la sécurité.
Enterprise se conclut par contrat avec notre équipe : il n'y a pas de paiement en libre-service.
- Chiffrement côté client des champs sensibles
- Journal d'audit à chaîne de hachage
- Accès machine limité
pulsvault.com/console/validators
continuous-validation.log
- 14:58:33[PROBE]Test de 42 identifiants dans northwind/production
- 14:58:36[SUCCESS]stripe-api-key — authentifié, portée inchangée
- 14:58:41[SUCCESS]github-pat — authentifié, expire dans 54 jours
- 14:58:49[FAILED]postgres-primary — authentification rejetée
- 14:58:49[TRIGGER]Alerte acheminée vers #security · postgres-primary
Une sauvegarde que vous pouvez ouvrir sans nous
La copie de votre organisation de ce qu'elle conserve dans PulsVault, chiffrée avec des clés que vous seul détenez et livrée dans un stockage qui vous appartient. Si nous devenions un jour indisponibles, vous l'auriez toujours.
Générée chaque nuit
Les paramètres de votre organisation, les secrets DevOps, les coffres d'entreprise et le journal d'audit sont réunis dans une seule archive. Vous pouvez aussi en générer une à la demande.
Chiffrée avec vos clés
Scellée avec les clés publiques age que vous enregistrez. Nous ne détenons jamais de clé privée : nous ne pouvons donc pas ouvrir une archive, pas plus que quiconque lisant votre bucket.
Livrée dans votre bucket
Écrite dans un bucket compatible S3 qui vous appartient. Nous y écrivons uniquement ; nous ne listons, ne lisons ni ne supprimons jamais.
Ouverte sans nous
Déchiffrez-la avec l'outil age gratuit, et lisez hors ligne les éléments des coffres d'entreprise avec le kit de récupération, une simple page web que vous conservez.
Choisir la destination des archives nécessite sa propre permission, qui ne fait partie d'aucun rôle. Une modification attend 48 heures et est annoncée à tous les administrateurs.
Un journal d'audit vérifiable
Il révèle les altérations sans les empêcher : une modification de l'enregistrement est détectable. Il est conçu pour aider à constituer des éléments de preuve pour SOC 2, ISO 27001 et l'article 30 du GDPR, et il consigne les actions sensibles pour la sécurité plutôt que chaque lecture.
À chaîne de hachage
Les actions sensibles pour la sécurité sont chaînées à l'entrée qui les précède, de sorte qu'une entrée modifiée ou supprimée est détectable.
Stockage en ajout seul
L'identifiant de base de données propre à l'application ne peut pas supprimer de lignes d'audit.
Vérifié avant toute purge
Les purges de rétention vérifient d'abord la chaîne et ne suppriment que ce qu'elles ont vérifié.
Reçus signés
Des reçus d'intégrité signés, également placés dans chaque archive de sauvegarde, vous permettent de prouver hors ligne l'état du journal.
Diffusé vers votre supervision
Transmettez les événements via un webhook, signé avec HMAC-SHA256 lorsque vous configurez un secret.
Conçu pour les contrats et la montée en charge
Enterprise reprend tout ce que contient Business et ajoute les limites, les conditions et la propriété que négocient les grandes organisations.
Les plafonds les plus élevés
Les limites du plan machine les plus élevées, les revérifications d'identifiants les plus rapides et l'historique machine le plus long de toutes les offres.
- Lectures de secrets par clé
- Lectures de secrets par espace
- Revérification la plus rapide
- Historique machine
- Versions par secret
La rétention la plus longue
Historique d'audit, appareils de confiance, historique des éléments et sauvegardes de coffres au niveau Enterprise.
- Historique d'audit
- Appareils approuvés
- Historique des éléments
- Sauvegardes de coffres conservées
À votre nom
Affichez le nom, le logo et la couleur d'accent de votre organisation à vos membres.
Isolation au niveau de la base de données
Les données de l'organisation sont séparées par une sécurité au niveau des lignes dans la base de données, en plus des contrôles de l'application.
Tout ce qui est dans Business
Coffres appartenant à l'entreprise, accès par rôles, suite de politiques, politique réseau, rapport d'accès et plan machine sont tous repris.
Une sécurité qui suit votre infrastructure
Au-delà du stockage des mots de passe : PulsVault vérifie les identifiants, délivre aux machines un accès avec le moindre privilège nécessaire, et permet aux équipes d'ingénierie et de sécurité de travailler à partir de la même source de vérité.
Validation continue des identifiants
Des sondes vérifient selon un calendrier que les identifiants de base de données, de jeton d'API et HTTP stockés s'authentifient toujours, pour les services accessibles sur l'internet public. Un identifiant défaillant déclenche une alerte que vous pouvez acheminer vers Slack, un webhook ou par e-mail.
Identités machine pour la CI
Les pipelines reçoivent leurs propres clés d'API limitées, rattachées à un projet et restreintes par des motifs de chemin, sans jeton d'administration partagé. Chargez les secrets dans GitHub Actions ou GitLab CI avec la CLI pulsvault.
Des secrets avec historique
Des secrets clé-valeur organisés en espaces de noms par projet et par environnement, avec chaque modification versionnée et une restauration à un instant donné que vous prévisualisez avant son application.
- Versions conservées par secret
Personnes et machines, une seule console
Les coffres de mots de passe d'équipe, les secrets de pipeline et les tâches déléguées se gèrent depuis une seule console : une rotation peut ainsi être attribuée, suivie et clôturée là où se trouve le secret.
Un contrôle total. Une visibilité totale.
Les contrôles qu'une équipe de sécurité réclame dès sa première semaine : qui a accès, à quoi, et comment les données sont protégées.
Cycle de vie et provisionnement
Invitez, attribuez des rôles, suspendez et retirez depuis une seule liste. Retirer un membre ferme son compte dans votre organisation et met fin à son accès ; les coffres qu'il pouvait ouvrir sont signalés pour une rotation des clés.
Politiques et limites réseau
Appliquez des règles de mot de passe, d'authentification à deux facteurs et de session, choisissez les algorithmes de chiffrement que les coffres peuvent utiliser, et restreignez les lieux depuis lesquels les membres peuvent se connecter.
Rapport d'accès
Voyez qui peut accéder à quoi, par membre ou par ressource, avec le chemin emprunté par chaque autorisation.
Chiffrement d'enveloppe
Chaque coffre a sa propre clé, enveloppée par votre clé principale, elle-même enveloppée par une clé dérivée sur votre appareil. Retirer une personne fait pivoter la clé du coffre côté client.
Sur la feuille de route
Pas disponibles aujourd'hui. Elles figurent ici pour que vous voyiez où nous allons, et pour que nous ne soyons jamais flous sur ce qui est livré ou non.
SSO et SCIM
Authentification unique et provisionnement automatisé des utilisateurs depuis votre fournisseur d'identité.
Sur la feuille de route Identité de charge de travail OIDC
Permettez aux tâches CI de s'authentifier avec des jetons d'identité de courte durée plutôt que des clés stockées.
Sur la feuille de route Identités d'agents IA
Des identités limitées pour les agents IA, en complément des identités machine.
Sur la feuille de route
Chiffrement côté client. Vos clés.
Les champs sensibles sont chiffrés sur votre appareil. Le serveur stocke des données chiffrées et des clés enveloppées, mais jamais votre mot de passe, vos clés de coffre ni le texte en clair de ces champs : une intrusion dans nos serveurs ne les expose donc pas.
Les clés de coffre sont dérivées localement à partir de votre mot de passe et d'une clé d'accès distincte. Les coffres utilisent AES-256-GCM (ChaCha20-Poly1305 est aussi disponible), avec un nonce unique pour chaque chiffrement. Les titres des éléments et les autres champs non sensibles ne sont pas chiffrés de bout en bout, et les secrets DevOps sont déchiffrés par nos serveurs lorsqu'une clé machine autorisée les lit.
Chiffrement côté client
Les champs sensibles sont chiffrés avant de quitter votre appareil. Seuls vos appareils détiennent les clés qui les déchiffrent.
AES-256-GCM
Chiffrement authentifié avec un nonce unique pour chaque chiffrement et des données associées liées.
Accès à deux verrous
La connexion et le déverrouillage du coffre sont des étapes distinctes ; la clé du coffre est dérivée sur l'appareil et n'est jamais envoyée.
Audit à altération détectable
Un journal d'audit à chaîne de hachage conçu pour aider à constituer des éléments de preuve pour SOC 2, ISO 27001 et l'article 30 du GDPR.
Les questions que les équipes de sécurité posent en premier
Talk to us about Enterprise
Tell us about your organization and what you need to prove. Our team will get back to you about terms.
Talk to an expert