enseal

डेवलपर्स के लिए सुरक्षित, अस्थायी गुप्त साझाकरण।

Slack में गुप्त चीज़ें चिपकाना बंद करें। enseal सुरक्षित मार्ग को असुरक्षित मार्ग से तेज़ बनाता है — एक ही कमांड और बिना किसी सेटअप के एन्क्रिप्टेड, एकल-उपयोग चैनलों के माध्यम से .env फ़ाइलें और गुप्त चीज़ें साझा करें।```bash

sender

$ enseal share .env Share code: 7-guitarist-revenge Secrets: 14 variables (staging) Expires: on first receive

recipient

$ enseal receive 7-guitarist-revenge ok: 14 secrets written to .env

## स्थापना

### crates.io से```bash
cargo install enseal

स्रोत से```bash

git clone https://github.com/FlerAlex/enseal.git cd enseal cargo build --release

binary at ./target/release/enseal

### प्रीबिल्ट बाइनरीज़

[GitHub Releases](https://github.com/FlerAlex/enseal/releases) से लिनक्स (x86_64, aarch64), macOS (Intel, Apple Silicon), और विंडोज के लिए डाउनलोड करें।

## त्वरित प्रारंभ

### अनाम मोड (शून्य सेटअप)

एक बार के कोड का उपयोग करके गुप्त जानकारी साझा करें। कोई कुंजी नहीं, कोई खाता नहीं — तुरंत काम करता है।```bash
# terminal 1 (sender)
enseal share .env
  Share code:  7-guitarist-revenge
  Secrets:     14 variables
  Expires:     on first receive

# terminal 2 (recipient) — enter the code
enseal receive 7-guitarist-revenge
ok: 14 secrets written to .env

एकल रहस्यों के साथ भी काम करता है:```bash

terminal 1 — pipe a token

echo "my-api-token" | enseal share --label "API key" Share code: 4-orbital-hammock

terminal 2 — prints to stdout

enseal receive 4-orbital-hammock my-api-token

दोनों टर्मिनल एक ही समय पर खुले होने चाहिए — प्रेषक तब तक प्रतीक्षा करता है जब तक प्राप्तकर्ता कनेक्ट नहीं करता।

### पहचान मोड (कुंजी-आधारित, कोई कोड नहीं)

स्थापित कुंजी विश्वास वाली टीमों के लिए। एक नाम पर एन्क्रिप्ट करें, किसी समन्वय की आवश्यकता नहीं।```bash
# one-time setup
enseal keys init
enseal keys export > my-key.pub          # share this with teammates
enseal keys import teammate-key.pub      # import theirs

# sender encrypts to recipient by name
enseal share .env --to sarah

# or push through the public relay (no codes at all)
enseal share .env --to sarah --relay wss://relay.enseal.dev

# or produce an encrypted file (no network)
enseal share .env --to sarah --output ./drop/

प्रक्रिया में रहस्य इंजेक्ट करें (डिस्क को कभी स्पर्श न करें)```bash

anonymous mode: sender gives you a code

enseal inject 7-guitarist-revenge -- npm start

identity mode: listen on relay, sender pushes when ready

enseal inject --listen --relay wss://relay.enseal.dev -- docker compose up

from an encrypted file drop

enseal inject ./staging.env.age -- python manage.py runserver

गोपनीयता केवल चाइल्ड प्रक्रिया की मेमोरी में मौजूद रहती है। जब वह समाप्त होती है, तो वे गायब हो जाती हैं।

## विशेषताएं

### तीन साझाकरण मोड

**अनाम मोड** (डिफ़ॉल्ट) — वर्महोल-आधारित, शून्य सेटअप। आपको बस एक मानव-पठनीय कोड चाहिए। SPAKE2 पारस्परिक प्रमाणीकरण MITM हमलों को रोकता है।```bash
enseal share .env                         # generates wormhole code
enseal receive 7-guitarist-revenge        # uses code

--relay के साथ, anonymous mode wormhole को बायपास करता है और इसके बजाय enseal relay transport का उपयोग करता है। दोनों पक्षों को एक ही relay का उपयोग करना होगा:```bash enseal share .env --relay ws://relay.internal:4443 # generates channel code enseal receive 3421-amber-frost --relay ws://relay.internal:4443

**एसिंक अपलोड (`--upload`)** — केवल प्रेषक। स्थानीय रूप से एन्क्रिप्ट करता है और [burnurl.dev](https://burnurl.dev) पर पोस्ट करता है, एक स्व-नष्ट होने वाला URL लौटाता है जिसे प्राप्तकर्ता ब्राउज़र में खोलता है। प्राप्तकर्ता पक्ष पर CLI की आवश्यकता नहीं है।```bash
enseal share .env --upload
#   Secret URL:  https://burnurl.dev/s/a3f9c2e1...
#   Expires:     2026-03-08 19:42:00 UTC (24h)
#   Reads:       1 (self-destructs on first open)

प्राप्तकर्ता किसी भी ब्राउज़र में URL खोलता है — enseal इंस्टॉल की आवश्यकता नहीं है। अपलोड करने से पहले क्लाइंट-साइड एन्क्रिप्ट करने के लिए --passphrase जोड़ें (सर्वर केवल सिफरटेक्स्ट देखता है):```bash enseal share .env --upload --passphrase # prompts for passphrase enseal share .env --upload --ttl 4 # 4-hour TTL (max 24)

burnurl.dev पर API एक्सेस के लिए Pro या Team योजना आवश्यक है। अपनी कुंजी के लिए `BURNURL_API_KEY` सेट करें। स्व-होस्टेड इंस्टेंस के लिए बेस URL को ओवरराइड करें: `BURNURL_URL=https://burnurl.internal`।

**Identity mode** — ज्ञात टीम साथियों के लिए पब्लिक-की एन्क्रिप्शन। एक नाम पर एन्क्रिप्ट करें।```bash
enseal keys init                          # one-time setup
enseal share .env --to sarah              # encrypt to sarah's public key

Identity mode तीन ट्रांसपोर्ट विकल्पों का समर्थन करता है:```bash

wormhole (default, no --relay): generates a code like anonymous mode

enseal share .env --to sarah

relay push (with --relay): zero codes, pushes directly to recipient's channel

enseal share .env --to sarah --relay wss://relay.enseal.dev

file drop (with --output): no network, produces encrypted file

enseal share .env --to sarah --output ./drop/

produces ./drop/[email protected]

### लचीला इनपुट

enseal कई स्रोतों से गुप्त जानकारी स्वीकार करता है:```bash
# .env file (default)
enseal share .env
enseal share staging.env

# environment profile
enseal share --env staging               # resolves to .env.staging

# pipe from stdin
echo "sk_live_abc123" | enseal share
cat secrets.env | enseal share
pass show stripe/key | enseal share --to sarah

# inline (careful — visible in shell history)
enseal share --secret "API_KEY=sk_live_abc123"

# wrap raw string as KEY=VALUE
echo "sk_live_abc123" | enseal share --as STRIPE_KEY

चर अंतर्निवेशन

${VAR} संदर्भ भेजने से पहले हल किए जाते हैं ताकि प्राप्तकर्ताओं को पूरी तरह से विस्तारित मान मिलें:```env DB_HOST=postgres.internal DB_PORT=5432 DATABASE_URL=postgres://user:pass@${DB_HOST}:${DB_PORT}/myapp

`${VAR:-default}` फ़ॉलबैक सिंटैक्स का समर्थन करता है। सर्कुलर और आगे के संदर्भों का पता लगाया जाता है और उन्हें अस्वीकार कर दिया जाता है। `${VAR}` सिंटैक्स को बिना इंटरपोलेशन के भेजने के लिए `--no-interpolate` का उपयोग करें।

### फ़िल्टरिंग

नियंत्रित करें कि कौन से वेरिएबल भेजे जाते हैं:```bash
# exclude public/non-secret vars
enseal share .env --exclude "^PUBLIC_|^NEXT_PUBLIC_"

# send only matching vars
enseal share .env --include "^DB_|^API_"

# skip .env parsing entirely (send raw file)
enseal share .env --no-filter

स्मार्ट रिसीव

आउटपुट भेजी गई चीज़ के अनुसार अनुकूल होता है:```bash

.env payload -> writes to file

enseal receive CODE ok: 14 secrets written to .env

write to specific file

enseal receive CODE --output staging.env

raw string -> prints to stdout (pipe-friendly)

enseal receive CODE sk_live_abc123

force clipboard

enseal receive CODE --clipboard ok: copied to clipboard

force stdout for any payload

enseal receive CODE --no-write

receive from encrypted file drop (identity mode)

enseal receive ./staging.env.age ok: signature verified, file decrypted ok: 14 secrets written to .env

### Inject

गुप्त जानकारी प्राप्त करें और उन्हें सीधे चाइल्ड प्रक्रिया में पर्यावरण चर के रूप में इंजेक्ट करें। गुप्त जानकारी कभी भी फाइलसिस्टम को स्पर्श नहीं करती।```bash
# anonymous mode: inject via wormhole code
enseal inject 7-guitarist-revenge -- npm start

# identity mode: listen for incoming transfer on relay
enseal inject --listen --relay wss://relay.enseal.dev -- docker compose up

# from encrypted file drop
enseal inject ./staging.env.age -- python manage.py runserver

With --listen, the receiver connects to the relay and waits. The sender pushes with enseal share .env --to alex --relay wss://relay.enseal.dev — no codes exchanged, zero coordination needed.

.env टूलकिट

साझा करने के अलावा, enseal एक पूर्ण .env सुरक्षा टूलकिट है:```bash

check: verify your .env has all required vars

enseal check error: missing from .env (present in .env.example): JWT_SECRET, REDIS_URL

diff: compare two .env files (keys only, never values)

enseal diff .env.development .env.staging

REDIS_CLUSTER_URL (only in staging)

DEBUG (only in development)

enseal redact .env DATABASE_URL= API_KEY= PORT=

validate: check values against schema rules

enseal validate .env error: missing required: JWT_SECRET error: PORT value "abc" is not an integer ok: 11/14 variables passed validation

template: generate .env.example with type hints

enseal template .env

DATABASE_URL=

API_KEY=<32+ character string>

PORT=<integer, 1024-65535>

### स्थिर अवस्था एन्क्रिप्शन

`.env` फ़ाइलों को age एन्क्रिप्शन का उपयोग करके सुरक्षित git भंडारण के लिए एन्क्रिप्ट करें:```bash
# whole-file encryption
enseal encrypt .env
ok: .env encrypted in-place (14 variables, age key)

enseal decrypt .env

# per-variable: keys visible for diffing, values encrypted
enseal encrypt .env --per-var
# DB_HOST=ENC[age:abc123...]
# DB_PORT=ENC[age:def456...]

# multi-recipient: anyone on the team can decrypt
enseal encrypt .env --to sarah --to alex

पहचान और कुंजी प्रबंधन```bash

generate your keypair

enseal keys init

enseal keys export > my-key.pub

import a teammate's key (shows fingerprint, prompts for confirmation)

enseal keys import sarah.pub

list all trusted keys and aliases

enseal keys list

show your key fingerprint (for out-of-band verification)

enseal keys fingerprint

remove a trusted key

enseal keys remove [email protected]

create aliases for convenience

enseal keys alias sarah [email protected]

enseal keys group create backend-team enseal keys group add backend-team sarah enseal keys group add backend-team alex enseal keys group list backend-team enseal share .env --to backend-team

delete a group

enseal keys group delete backend-team

### सार्वजनिक रिले

एक मुफ्त सार्वजनिक रिले `wss://relay.enseal.dev` पर उपलब्ध है। इसका उपयोग त्वरित परीक्षण के लिए या जब आपको निजी रिले की आवश्यकता न हो, करें।```bash
# check relay health
curl https://relay.enseal.dev/health

# use it for identity-mode transfers
enseal share .env --to sarah --relay wss://relay.enseal.dev
enseal inject --listen --relay wss://relay.enseal.dev -- npm start

# or set it globally
export ENSEAL_RELAY=wss://relay.enseal.dev

इसे स्वयं आज़माएं```bash

1. generate keys (one-time)

enseal keys init

2. export and import your own key (for self-testing)

enseal keys export > /tmp/mykey.pub enseal keys import /tmp/mykey.pub

enter an alias when prompted (e.g. "mykey")

3. test file drop (no network needed)

enseal share --secret "TEST=works" --to mykey --output /tmp/ enseal receive /tmp/mykey.env.age

4. test relay push (two terminals)

terminal 1 (receiver):

enseal inject --listen --relay wss://relay.enseal.dev -- env | grep TEST

terminal 2 (sender):

enseal share --secret "TEST=relay_works" --to mykey --relay wss://relay.enseal.dev

### स्व-होस्टेड रिले

अपने नेटवर्क के अंदर सब कुछ रखें। रिले स्टेटलेस है — यह केवल सिफरटेक्स्ट देखता है।```bash
# Docker (one command)
docker run -d -p 4443:4443 enseal/relay

# Or as a binary
enseal serve --port 4443

# Check relay health
curl http://localhost:4443/health

enseal serve सादा WebSocket (ws://) का उपयोग करता है। TLS के लिए, एक रिवर्स प्रॉक्सी (Caddy, nginx) सामने रखें और wss:// से कनेक्ट करें।

--relay सेट होने पर, सभी मोड आपके रिले के माध्यम से रूट होते हैं:```bash

Anonymous mode — generates enseal channel code instead of wormhole code

enseal share .env --relay ws://relay.internal:4443

enseal receive 3421-amber-frost --relay ws://relay.internal:4443

Or set globally

export ENSEAL_RELAY=ws://relay.internal:4443 enseal share .env

स्व-होस्टेड रिले के साथ आइडेंटिटी मोड पूरी तरह से कोड-रहित है:```bash
# receiver listens on the relay
enseal inject --listen --relay ws://relay.internal:4443 -- npm start

# sender pushes directly — no code generated
enseal share .env --to alex --relay ws://relay.internal:4443
ok: pushed to alex

स्कीमा मान्यकरण

प्रोजेक्ट रूट पर .enseal.toml में नियम परिभाषित करें:```toml [schema] required = ["DATABASE_URL", "API_KEY", "JWT_SECRET"]

[schema.rules.DATABASE_URL] pattern = "^postgres://" description = "PostgreSQL connection string"

[schema.rules.PORT] type = "integer" range = [1024, 65535]

[schema.rules.API_KEY] min_length = 32

फिर सत्यापित करें:```bash
enseal validate .env

सत्यापन .env फ़ाइलें प्राप्त करने पर स्वचालित रूप से भी चलता है — भ्रम पैदा करने से पहले टूटे हुए कॉन्फ़िग को पकड़ता है।

पर्यावरण प्रोफाइल```bash

enseal share --env staging # shares .env.staging enseal validate --env production # validates .env.production enseal diff .env.development .env.production

## यह कैसे काम करता है

### अनाम मोड

**वर्महोल (डिफ़ॉल्ट, बिना `--relay`):**

1. प्रेषक `age` से पेलोड को एन्क्रिप्ट करता है
2. SPAKE2 कुंजी विनिमय सार्वजनिक वर्महोल रिले के माध्यम से एक साझा रहस्य स्थापित करता है
3. एन्क्रिप्टेड पेलोड रिले के माध्यम से संचारित होता है
4. प्राप्तकर्ता वार्ता की गई कुंजी से डिक्रिप्ट करता है
5. चैनल नष्ट हो जाता है — एकल उपयोग, समय-सीमित

रिले कभी सादा पाठ नहीं देखता। वर्महोल कोड आपसी प्रमाणीकरण प्रदान करता है।

**एन्सील रिले (`--relay`):**

1. प्रेषक `age` से पेलोड को एन्क्रिप्ट करता है और उसे एक उत्पन्न चैनल कोड के तहत एन्सील रिले को भेजता है
2. प्राप्तकर्ता उसी कोड के साथ उसी रिले से जुड़ता है और पेलोड प्राप्त करता है
3. पहली प्राप्ति पर चैनल खपत हो जाता है

इस मोड में कोई SPAKE2 नहीं है — चैनल कोड ही एकमात्र क्रेडेंशियल है।

### अतुल्यकालिक अपलोड (`--upload`)

1. प्रेषक पेलोड को एक `Envelope` (JSON, SHA-256 अखंडता जांच) में क्रमबद्ध करता है
2. वैकल्पिक रूप से इसे क्लाइंट-साइड age scrypt पासफ़्रेज़ (`--passphrase`) के साथ एन्क्रिप्ट करता है
3. पेलोड को HTTPS पर `burnurl.dev/api/secret` पर POST करता है
4. burnurl.dev इसे सर्वर-साइड AES-256-GCM के साथ स्थिर रूप में संग्रहीत करता है और एक स्व-विनाश URL लौटाता है
5. URL कॉन्फ़िगर किए गए TTL (निःशुल्क स्तर पर 24 घंटे तक) के लिए मान्य है, केवल एक बार पढ़ा जा सकता है

प्रेषक URL साझा करता है। प्राप्तकर्ता इसे किसी भी ब्राउज़र में खोलता है — किसी एन्सील की आवश्यकता नहीं। `--passphrase` के साथ, पासफ़्रेज़ को अलग से साझा किया जाना चाहिए; सर्वर कभी सादा पाठ नहीं देखता।

**स्तर:** API पहुंच के लिए burnurl.dev पर Pro या Team योजना की आवश्यकता है। अपनी कुंजी पर `BURNURL_API_KEY` सेट करें — निःशुल्क स्तर पर कोई API पहुंच नहीं।

स्व-होस्टेड burnurl इंस्टेंस को इंगित करने के लिए `BURNURL_URL` को ओवरराइड करें।

### पहचान मोड (सार्वजनिक कुंजी)

1. प्रेषक प्राप्तकर्ता की `age` सार्वजनिक कुंजी से एन्क्रिप्ट करता है
2. प्रेषक अपनी स्वयं की `ed25519` कुंजी से हस्ताक्षर करता है
3. पेलोड रिले, फ़ाइल ड्रॉप या वर्महोल के माध्यम से संचारित होता है
4. प्राप्तकर्ता अपनी निजी कुंजी से डिक्रिप्ट करता है
5. प्राप्तकर्ता प्रेषक के हस्ताक्षर को सत्यापित करता है

विश्वास इस बात पर आधारित है कि आपने कौन सी कुंजी आयात की है।

**पहचान मोड में परिवहन विकल्प:**

| परिवहन | फ़्लैग | यह कैसे काम करता है |
|---|---|---|
| वर्महोल (डिफ़ॉल्ट) | `--to sarah` | एक कोड उत्पन्न करता है, अनाम मोड जैसा लेकिन हस्ताक्षर के साथ |
| रिले पुश | `--to sarah --relay URL` | प्राप्तकर्ता के निर्धारणशील चैनल पर पुश करता है, कोई कोड नहीं |
| फ़ाइल ड्रॉप | `--to sarah --output ./dir/` | एन्क्रिप्टेड `.env.age` फ़ाइल उत्पन्न करता है, कोई नेटवर्क नहीं |

रिले पुश के साथ, प्राप्तकर्ता `enseal inject --listen --relay URL -- cmd` के साथ सुनता है या `enseal receive ./file.env.age` के साथ फ़ाइल ड्रॉप प्राप्त करता है।

## सुरक्षा मॉडल

**संरक्षित:**
- पारगमन में रहस्य (एन्क्रिप्टेड चैनल)
- Slack/ईमेल इतिहास में रहस्य (क्षणिक, कोई स्थायित्व नहीं)
- MITM हमले (SPAKE2 / सार्वजनिक कुंजी प्रमाणीकरण)
- दुर्भावनापूर्ण रिले (E2E एन्क्रिप्शन, रिले केवल सिफरटेक्स्ट देखता है)
- प्रेषक प्रतिरूपण (पहचान मोड: ed25519 हस्ताक्षर)
- डिस्क पर रहस्य (इंजेक्ट मोड: केवल प्रक्रिया मेमोरी)
- Git में रहस्य (एन्क्रिप्ट: स्थिर अवस्था में एन्क्रिप्शन)

**संरक्षित नहीं:**
- समझौता किए गए एंडपॉइंट (यदि मशीन नियंत्रित है, तो कुछ भी मदद नहीं करता)
- कुंजी वितरण (आप आयात की गई कुंजियों पर भरोसा करते हैं — कोई PKI नहीं, कोई CA नहीं)

## कॉन्फ़िगरेशन

आपके प्रोजेक्ट रूट में वैकल्पिक `.enseal.toml`:```toml
[defaults]
relay = "wss://relay.enseal.dev"     # public relay (identity mode)
# relay = "ws://relay.internal:4443" # self-hosted without TLS
# relay = "wss://relay.internal:4443" # self-hosted with TLS reverse proxy

[filter]
exclude = ["^PUBLIC_", "^NEXT_PUBLIC_", "^REACT_APP_"]

[identity]
default_recipient = "devops-team"

[schema]
required = ["DATABASE_URL", "API_KEY", "JWT_SECRET"]

CLI संदर्भ```

CORE enseal share [] Send secrets (file, pipe, or --secret) enseal receive [<code|file>] Receive secrets enseal inject [] -- Inject secrets into a process enseal keys Manage identity keys and aliases enseal serve Run self-hosted relay server

	enseal	Slack DM	1Password Share	dotenvx	croc
शून्य सेटअप	हाँ	हाँ	नहीं	नहीं	हाँ
एंड-टू-एंड एन्क्रिप्टेड	हाँ	नहीं	हाँ	N/A	हाँ
क्षणिक (कोई इतिहास नहीं)	हाँ	नहीं	हाँ	N/A	हाँ
.env जागरूक	हाँ	नहीं	नहीं	हाँ	नहीं
प्रक्रिया इंजेक्शन	हाँ	नहीं	नहीं	हाँ	नहीं
स्कीमा मान्यकरण	हाँ	नहीं	नहीं	नहीं	नहीं
स्थिर-अवस्था एन्क्रिप्शन	हाँ	N/A	N/A	हाँ	नहीं
स्व-होस्ट करने योग्य रिले	हाँ	नहीं	नहीं	N/A	हाँ
रॉ स्ट्रिंग/पाइप समर्थन	हाँ	हाँ	नहीं	नहीं	हाँ

enseal

सबसे लोकप्रिय

`receive` फ़्लैग्स```

`keys` उप-आदेश```

`encrypt` / `decrypt` फ़्लैग```

तुलना

रोडमैप

लाइसेंस

enseal

सबसे लोकप्रिय

enseal

sender

recipient

स्रोत से```bash

binary at ./target/release/enseal

terminal 1 — pipe a token

terminal 2 — prints to stdout

प्रक्रिया में रहस्य इंजेक्ट करें (डिस्क को कभी स्पर्श न करें)```bash

anonymous mode: sender gives you a code

identity mode: listen on relay, sender pushes when ready

from an encrypted file drop

wormhole (default, no --relay): generates a code like anonymous mode

relay push (with --relay): zero codes, pushes directly to recipient's channel

file drop (with --output): no network, produces encrypted file

produces ./drop/[email protected]

चर अंतर्निवेशन

स्मार्ट रिसीव

.env payload -> writes to file

write to specific file

raw string -> prints to stdout (pipe-friendly)

force clipboard

force stdout for any payload

receive from encrypted file drop (identity mode)

.env टूलकिट

check: verify your .env has all required vars

diff: compare two .env files (keys only, never values)

redact: strip values for safe sharing of structure

validate: check values against schema rules

template: generate .env.example with type hints

DATABASE_URL=

API_KEY=<32+ character string>

PORT=<integer, 1024-65535>

पहचान और कुंजी प्रबंधन```bash

generate your keypair

share your public key with teammates

import a teammate's key (shows fingerprint, prompts for confirmation)

list all trusted keys and aliases

show your key fingerprint (for out-of-band verification)

remove a trusted key

create aliases for convenience

create groups for multi-recipient sharing

delete a group

इसे स्वयं आज़माएं```bash

1. generate keys (one-time)

2. export and import your own key (for self-testing)

enter an alias when prompted (e.g. "mykey")

3. test file drop (no network needed)

4. test relay push (two terminals)

terminal 1 (receiver):

terminal 2 (sender):

Anonymous mode — generates enseal channel code instead of wormhole code

info: Share code: 3421-amber-frost

Or set globally

स्कीमा मान्यकरण

पर्यावरण प्रोफाइल```bash

CLI संदर्भ```

receive फ़्लैग्स```

keys उप-आदेश```

encrypt / decrypt फ़्लैग```

तुलना

रोडमैप

लाइसेंस

`receive` फ़्लैग्स```

`keys` उप-आदेश```

`encrypt` / `decrypt` फ़्लैग```