لماذا تستضيف مدير الأسرار ذاتيًا
يعني تخزين الأسرار في خزنة SaaS أن أكثر بيانات اعتمادك حساسيةً تعبر خادمًا تابعًا لطرف ثالث. أما استضافة Infisical ذاتيًا فتُبقي كل سرّ على بنيتك التحتية، تحت ضوابط وصولك وسجلّات تدقيقك الخاصة. كما تلغي اشتراك SaaS متكرّرًا: فـ Infisical مرخّص بـ MIT، ومجاني للاستضافة الذاتية، وبديل مباشر عن أدوات مدفوعة مثل Doppler ($6/dev/month) أو تعقيد HashiCorp Vault. وبخادم VPS واحد واسم نطاق، يستطيع فريقك بأكمله وكل خط CI جلب الأسرار برمجيًا — دون ملفات .env تُرفَع بالخطأ بعد اليوم.
ما يمنحك إياه Infisical المستضاف ذاتيًا
- خزنة مركزية لكل بيئة (dev، staging، prod) مع سياسات وصول لكل بيئة.
- حزم SDK أصيلة لـ Node.js وPython وGo وJava وRuby وغيرها — احقن الأسرار وقت التشغيل، لا عبر ملفات .env.
- تكاملات مع GitHub Actions وGitLab CI وCircleCI وJenkins: تُزامَن الأسرار تلقائيًا مع خطوطك.
- تحكّم في الوصول قائم على الأدوار، ورموز خدمة، وهويّات آلية — دون بيانات اعتماد جذر مشتركة.
- سجلّ تدقيق كامل: تُسجَّل كل عملية قراءة وكتابة وتدوير مع المستخدم وعنوان IP والطابع الزمني.
- تدوير الأسرار وإدارة إصداراتها — تراجَع عن سرّ بنقرة واحدة إذا اختُرِق أحد بيانات الاعتماد.
المتطلبات
خادم VPS بـ 2 vCPU و4 غيغابايت من RAM على الأقل يشغّل Ubuntu 22.04 (فـ PostgreSQL وNode.js نهِمان للذاكرة تحت الطلبات المتزامنة). مع Docker وDocker Compose مثبّتين. واسم نطاق يشير إلى خادم VPS الخاص بك — إذ يتطلّب Infisical رابطًا عامًا لإعادات توجيه OAuth وروابط الدعوة عبر البريد ونموذج أمان المتصفّح (SITE_URL ليس اختياريًا).
نشر Infisical باستخدام Docker Compose
توليد الأسرار
يحتاج Infisical إلى سرّين مستقلّين: ENCRYPTION_KEY (سداسي عشري بـ 16 بايت: openssl rand -hex 16) لتشفير بيانات الخزنة في حالة السكون، وAUTH_SECRET (سلسلة عشوائية: openssl rand -base64 32) لتوقيع رموز JWT. خزّن كليهما في ملف .env بجوار ملف Compose الخاص بك — ولا ترفع هذا الملف أبدًا إلى نظام التحكّم بالإصدارات.
كتابة ملف Compose
تضمّ المنظومة ثلاث خدمات: postgres:14-alpine (مخزن الأسرار)، وredis:alpine (المهام الخلفية وذاكرة الجلسات المؤقتة)، وinfisical/infisical:latest (التطبيق، المنفذ 8080). اضبط DB_CONNECTION_URI وREDIS_URL وSITE_URL (نطاقك، https://secrets.yourdomain.com) والسرّين. شغّل المنظومة عبر docker compose up -d.
إعداد وكيل عكسي
يتطلّب Infisical تفعيل HTTPS — فبدون شهادة TLS صالحة يحجب المتصفّح تدفّقات OAuth. وجّه Caddy إلى المنفذ 8080: secrets.yourdomain.com { reverse_proxy localhost:8080 }. يوفّر Caddy شهادة Let's Encrypt تلقائيًا. أعد تشغيل Caddy وتحقّق من أن https://secrets.yourdomain.com يحمّل صفحة التسجيل.
إنشاء أول حساب مسؤول
افتح نطاقك في متصفّح وسجّل أول مستخدم — يحصل هذا الحساب تلقائيًا على صلاحيات المسؤول. ثم أنشئ أول مشروع لك (فضاء أسماء منطقي للأسرار المترابطة)، وأضف البيئات (dev، staging، prod) وادعُ أعضاء فريقك.
التكامل مع تطبيقاتك وCI
ثبّت واجهة سطر أوامر Infisical (npm install -g @infisical/cli) أو حزمة SDK في مشروعك. نفّذ infisical run -- node server.js لحقن الأسرار وقت التشغيل — يقرأ تطبيقك process.env.MY_SECRET كأنه من ملف .env محلي، لكن القيمة تأتي من الخزنة. أما لـ GitHub Actions، فثبّت إجراء Infisical الرسمي وأضف رمز خدمة كسرّ مستودع.
أول تسجيل دخول
افتحوا دون تأخير عنوان نسختكم على المسار: /admin/signup — فهو المعالج الذي يُستخدم مرة واحدة لإنشاء حساب Super Admin ثم مؤسستكم. وأول من يصل إلى هذه الشاشة يصبح مسؤول النسخة.
أحكم إغلاق نسخة Infisical لديك فور الإعداد
قبل دعوة فريقك، عطّل صفحة التسجيل العامة في Settings → Authentication → Allow signups. عندئذٍ لا يقبل Infisical سوى المستخدمين المدعوّين من مسؤول. فعّل أيضًا التحقّق عبر البريد الإلكتروني، وإذا كان فريقك يستخدم GitHub أو Google OAuth، فاضبط هذين المزوّدين في Settings → SSO — فهما أكثر أمانًا من الدخول بكلمة المرور وحدها.
