Готовность
Что работает сегодня, а что — обещание
Продукт молодой, и сайт продукта обязан этому соответствовать. Ниже — разделение без хитростей: «работает» означает, что это можно потрогать в проде на app.wardhold.ru прямо сейчас.
Ядро и кабинет
| Возможность | Состояние | Комментарий |
|---|---|---|
| Секреты, версии, деактивация, отложенное уничтожение | работает | Иммутабельность версий закрыта триггерами PostgreSQL |
| Организации, проекты, роли и привязки | работает | Границы тенанта проверяются в базе, а не только в коде |
| Сервисные аккаунты и машинные токены | работает | Токены хранятся хешем, права ограничены скоупом и ролью |
| Регистрация, вход, подтверждение адреса, сброс пароля | работает | Письма уходят через SMTP-релей, состояние видно в проверке готовности |
| Аудит каждого чтения содержимого, включая отказы | работает | |
| Выгрузка журнала аудита в файл и syslog | работает | JSON Lines и RFC 5424 во всех изданиях, включая Community; коннекторы конкретных SIEM — в плане, в Enterprise; сейчас их нет ни в одном издании |
| Личный сейф паролей с шифрованием в браузере | работает | Внешний криптоаудит — в плане до продвижения как отдельного продукта |
| Командные сейфы проекта с правами на участника | работает | Ключ сейфа заворачивается на ключ коллеги в браузере; состав и обращения — в журнале |
| Одноразовые ссылки на пароль | работает | Ключ уходит во фрагменте ссылки |
| Карточка сотрудника: доступы, чтения, токены, журнал | работает | |
| Сигнал об увольнении и подсветка оставшегося доступа | работает | Событие портала Битрикс24 или сверка при синхронизации каталога; сигнал ничего не отбирает — алерт приходит в карточку секрета и командного сейфа |
| Мгновенное сдерживание: блокировка, отзыв сессий и токенов, заморозка привязок | работает: API | Одной транзакцией и обратимо, без предпосылки в виде увольнения; в кабинете кнопки ещё нет |
| План ротации строками со статусом и ответственным | работает: API | Строится из раскрытия сигнала, приоритет по факту чтения; закрывается сам при появлении новой версии секрета. В кабинете экрана ещё нет |
| Роли организации: владелец, администратор, сотрудник | работает | Понижение действует немедленно на всех живых сессиях; последний владелец неснимаем |
| Вебхуки о ротации с подписью Ed25519 | работает | Outbox в PostgreSQL, без брокеров |
| Сотрудники и подразделения организации | работает | Каталог переносится из портала без выдачи прав: синхронизированный сотрудник получает роль сотрудника |
| Приглашение сотрудника в организацию по e-mail | работает | Ссылка на 7 дней, роль из приглашения; доступа к секретам приглашение не выдаёт |
| Корпоративный вход через OIDC-провайдер организации | работает | Keycloak, ADFS, Blitz; провайдер настраивается администратором организации, сотрудник заводится при первом входе без доступов к секретам |
| Ротация мастер-ключа на работающем инстансе | работает | Перезавёртка рабочих ключей порциями с продолжением после обрыва; ключ подписи — вместе со всеми |
| Выгрузка и загрузка в подписанном конверте | работает | Тело под парольной фразой, подпись Ed25519 инстанса; загрузка с dry-run и отчётом сопоставления |
| Резервные копии по расписанию и проверяемое восстановление | работает | Полная копия базы в каталог или S3, конверт под парольной фразой с подписью; restore со сверкой |
| Импорт из CSV, JSON, .env, HashiCorp Vault и Пассворка | работает | vault kv get -format=json (KV v1/v2), выгрузка Пассворка JSON/CSV; кириллические имена транслитерируются |
| Двухфакторная аутентификация при входе | работает | TOTP по RFC 6238, коды восстановления, политика организации «обязателен» |
| Свои устройства: список входов и точечный отзыв | работает | Браузер, расширение, адрес и время последнего обращения; отзыв одного устройства не трогает остальные входы и интеграции |
| Расширение браузера для личного сейфа | работает | Chrome, Яндекс.Браузер, Edge: подстановка логина и пароля, генератор, новая запись. В магазинах расширений нет — каталог из релиза или корпоративная политика; мобильных и десктопных клиентов нет |
Интеграции
| Направление | Состояние | Комментарий |
|---|---|---|
| Kubernetes через External Secrets Operator | работает | Проверено на реальном контроллере, отдельного оператора не требуется |
| CI-клиент: экспорт значений и запуск процесса | работает | wardhold ci export и ci run в любом пайплайне |
| GitHub Actions | работает | Composite action с маскированием значений в логе |
| GitLab CI | работает | Шаблон include: remote и компонент каталога; прогон на живом раннере — за внедрением |
| Агент для VM, docker-compose и systemd | работает | Файлы-приёмники и дочерний процесс |
| MCP-сервер для AI-агентов | работает | Список и описания свободно, содержимое — по праву |
| Gitea и Forgejo | в плане | Ожидается совместимость с action для GitHub |
| Приложение Битрикс24: установка и синхронизация каталога | работает | Сотрудники, оргструктура и проекты портала; доступов не выдаёт |
| Битрикс24: кабинет на портале и в мобильном приложении | работает | Плитка левого меню и виджет в чате мобильного приложения; сейфы паролей во фрейме не открываются |
| Битрикс24: роботы и бизнес-процессы | работает | Действия «получить» и «сохранить секрет»; в параметрах шаблона — только имя секрета; живой прогон — за внедрением |
| Битрикс24: событие увольнения | работает | Сигнал по событию портала или по сверке при синхронизации; подсветка доступов уволенного в карточке секрета и сейфа; блокировок не делает |
| 1С:Предприятие: запрос из конфигурации | работает | Обычный HTTP-запрос к API; своего кода на стороне Wardhold не требуется |
| 1С:Предприятие: поставляемое расширение | в плане | Общий модуль с кешем в сеансе и повторными попытками |
| Агент службой Windows | в плане | Сегодня описаны systemd и docker-compose |
| Laravel SDK | в плане | Драйвер конфигурации с инвалидацией по вебхуку |
| Выгрузка секретов в переменные CI и облачные хранилища | в плане | |
| Вход через OIDC-провайдер организации | работает | Keycloak, ADFS, Blitz и любой OpenID Connect; свой провайдер у каждой организации, сотрудник заводится при первом входе без единого доступа |
| Вход по SAML, синхронизация каталога из LDAP и Active Directory | Enterprise | |
| Внешние KMS и HSM, кластеризация | Enterprise | |
| Коннекторы конкретных SIEM и гарантированная доставка журнала | в плане | Сам поток аудита в файл и syslog уже работает в Community |
Почему такая страница вообще существует
Сайты продуктов обычно пишут в будущем времени, а читатель узнаёт правду после регистрации. Нам это невыгодно: покупатель секретохранилища проверяет обещания первым делом и запоминает расхождения надолго.
Страница обновляется вместе с продуктом. Если что-то из «в плане» нужно вам срочно — напишите на hello@wardhold.ru: приоритет бэклога определяется в том числе такими письмами.