Cómo autoalojar Infisical en un VPS

Almacenar los secretos en una caja fuerte SaaS supone hacer transitar sus credenciales más sensibles por el servidor de un tercero. Autoalojar Infisical mantiene cada secreto en su propia infraestructura, bajo sus propios controles de acceso y registros de auditoría. También elimina una suscripción SaaS recurrente: Infisical está bajo licencia MIT, es gratuito de autoalojar y sustituye directamente a herramientas de pago como Doppler (6 $/desarrollador/mes) o a la complejidad de HashiCorp Vault. Con un solo VPS y un nombre de dominio, todo su equipo y cada uno de sus pipelines de CI pueden recuperar los secretos por programación: se acabaron los archivos .env subidos por accidente.

Un VPS con al menos 2 vCPU y 4 GB de RAM bajo Ubuntu 22.04 — PostgreSQL y Node.js consumen mucha memoria cuando procesan peticiones concurrentes; por debajo de 4 GB, Infisical se reinicia bajo carga. Al menos 20 GB de disco para los registros de auditoría a largo plazo. Docker y Docker Compose instalados (docker compose version debe devolver v2.x). Un nombre de dominio que apunte a su VPS: Infisical exige una URL pública para las redirecciones OAuth, los enlaces de invitación por correo electrónico y el modelo de seguridad del navegador (SITE_URL no es opcional). Un registro DNS A o CNAME ya propagado antes de iniciar Caddy o nginx para la emisión del certificado Let's Encrypt.

Una vez en marcha la instancia, tres funciones avanzadas refuerzan la seguridad operativa.

RBAC (control de acceso basado en roles): Infisical distingue cuatro roles predefinidos — owner, admin, developer, viewer. Asigne el rol viewer a los pipelines CI que sólo necesitan leer, developer a los desarrolladores y admin a los responsables de proyecto. Las Machine Identities permiten asociar un rol directamente a una aplicación sin un token de servicio manual: se autentican mediante AWS IAM, Azure AD o un token de Kubernetes.

Políticas de secretos: en Settings → Project → Secret Protection, active las aprobaciones antes de sobrescribir un secreto de producción. Un segundo administrador deberá validar cada modificación — útil para equipos sujetos a SOC 2 o ISO 27001.

Rotación automática: Infisical incluye plantillas de rotación nativas para PostgreSQL, MySQL, AWS IAM y GitHub. En la pestaña Rotation de su proyecto, cree un trabajo de rotación con la frecuencia deseada (p. ej., cada 30 días para una contraseña de base de datos). Infisical genera el nuevo valor, lo envía a la caja fuerte y notifica a las aplicaciones mediante webhook — sin intervención manual.

GitHub Actions: añada la action oficial a su workflow y pase un token de servicio como secreto del repositorio (INFISICAL_TOKEN). Los secretos se inyectan como variables de entorno antes de cada job.

- uses: Infisical/secrets-action@v1
  with:
    token: ${{ secrets.INFISICAL_TOKEN }}
    project-id: "<su-project-id>"
    environment: "prod"

GitLab CI: use la CLI de Infisical en un before_script. Añada INFISICAL_TOKEN en las variables CI/CD del repositorio.

before_script:
  - infisical run --env prod -- env | grep MY_SECRET

Docker Compose (runtime): la CLI de Infisical puede generar un archivo .env al vuelo antes de lanzar Compose, o inyectar directamente mediante infisical run -- docker compose up -d. Evite almacenar un .env generado dentro de una imagen — prefiera la inyección en tiempo de ejecución para no serializar un secreto en una capa Docker.

Error: connect ECONNREFUSED 127.0.0.1:6379 (Redis) — Redis no está iniciado o el servicio infisical arranca antes de que Redis esté listo. Añada depends_on: redis en su docker-compose.yml y compruebe que el contenedor Redis está healthy con docker compose ps. Si Redis funciona pero el error persiste, confirme que REDIS_URL es redis://redis:6379 (nombre del servicio en Compose, no localhost).

Error: unable to verify the first certificate (TLS) — el certificado Let's Encrypt aún no se ha emitido (propagación DNS incompleta) o Caddy/nginx no puede alcanzar el endpoint ACME challenge. Verifique que el puerto 80 está abierto en su firewall (ufw allow 80) — Caddy lo necesita para el challenge HTTP-01 en la emisión inicial.

docker compose up falla con Bind for 0.0.0.0:8080 failed: port is already allocated — otro proceso está escuchando en el puerto 8080. Cambie el mapeo de puertos en Compose (8081:8080) y actualice la configuración del reverse proxy.

La página /admin/signup no es accesible tras el primer inicio de sesión — es el comportamiento esperado: el asistente sólo aparece una vez. Si necesita reproducirlo (instancia de prueba), elimine la tabla Organization y reinicie Infisical.

Los secretos no se inyectan en GitHub Actions — compruebe que el environment pasado a la action coincide exactamente con el nombre del entorno creado en Infisical (sensible a mayúsculas: prod ≠ Prod).

Copias de seguridad de PostgreSQL: los secretos cifrados residen en PostgreSQL. Programe un pg_dump diario con docker exec infisical_postgres pg_dump -U infisical infisical > backup-$(date +%Y%m%d).sql. Cifre la copia antes de transferirla fuera del sitio — contiene secretos cifrados en reposo, pero una filtración de la base de datos combinada con una filtración de ENCRYPTION_KEY expone toda la caja fuerte.

Actualizar Infisical: la imagen infisical/infisical:latest se actualiza con cada nuevo tag. Para una actualización controlada, fije la versión (v0.91.1), revise el changelog de GitHub antes de cada actualización (algunas versiones incluyen migraciones de base de datos) y siga este orden:
1. docker compose pull para descargar la nueva imagen.
2. docker compose up -d — Docker Compose sólo recrea los contenedores cuya imagen ha cambiado.
3. Verifique que la página de inicio de sesión responde y que los registros no muestran errores de migración.

Monitorización: exponga el endpoint /healthcheck de Infisical en su herramienta de supervisión (Uptime Kuma, Gatus) para recibir alertas ante interrupciones. Una caja fuerte de secretos inaccesible bloquea todos los despliegues que dependen de ella.