Comment auto-héberger Infisical sur un VPS

Stocker ses secrets dans un coffre-fort SaaS, c'est faire transiter ses identifiants les plus sensibles par le serveur d'un tiers. Auto-héberger Infisical maintient chaque secret sur votre propre infrastructure, sous vos propres contrôles d'accès et journaux d'audit. Cela supprime aussi un abonnement SaaS récurrent : Infisical est sous licence MIT, gratuit à auto-héberger, et remplace directement des outils payants comme Doppler (6 $/développeur/mois) ou la complexité de HashiCorp Vault. Avec un seul VPS et un nom de domaine, toute votre équipe et chacun de vos pipelines CI peuvent récupérer les secrets par programmation — fini les fichiers .env commités par accident.

Un VPS doté d'au moins 2 vCPU et 4 Go de RAM sous Ubuntu 22.04 — PostgreSQL et Node.js sont gourmands en mémoire lorsqu'ils traitent des requêtes concurrentes ; en dessous de 4 Go, Infisical redémarre sous charge. Un disque de 20 Go minimum pour les journaux d'audit sur le long terme. Docker et Docker Compose installés (docker compose version doit retourner v2.x). Un nom de domaine pointant vers votre VPS — Infisical exige une URL publique pour les redirections OAuth, les liens d'invitation par e-mail et le modèle de sécurité du navigateur (SITE_URL n'est pas optionnel). Un enregistrement DNS A ou CNAME déjà propagé avant de démarrer Caddy ou nginx pour l'émission du certificat Let's Encrypt.

Une fois l'instance en place, trois fonctions avancées renforcent la sécurité opérationnelle.

RBAC (contrôle d'accès basé sur les rôles) : Infisical distingue quatre rôles prédéfinis — owner, admin, developer, viewer. Attribuez le rôle viewer aux pipelines CI qui n'ont besoin que de lire, developer aux développeurs et admin aux responsables de projet. Les identités machine (Machine Identities) permettent d'associer un rôle directement à une application sans jeton de service manuel : elles s'authentifient via AWS IAM, Azure AD ou un jeton Kubernetes et sont préférables aux jetons à longue durée de vie.

Politiques de secrets : dans Settings → Project → Secret Protection, activez les approbations avant écrasement d'un secret de production. Un second administrateur devra valider chaque modification — utile pour les équipes soumises à SOC 2 ou ISO 27001.

Rotation automatique : Infisical propose des templates de rotation natifs pour PostgreSQL, MySQL, AWS IAM et GitHub. Dans l'onglet Rotation de votre projet, créez un job de rotation avec la fréquence souhaitée (ex. tous les 30 jours pour un mot de passe de base de données). Infisical génère la nouvelle valeur, la pousse dans le coffre-fort et notifie les applications via webhook — sans intervention manuelle.

GitHub Actions : ajoutez l'action officielle dans votre workflow et passez un jeton de service comme secret de dépôt (INFISICAL_TOKEN). Les secrets sont injectés comme variables d'environnement avant chaque job.

- uses: Infisical/secrets-action@v1
  with:
    token: ${{ secrets.INFISICAL_TOKEN }}
    project-id: "<votre-project-id>"
    environment: "prod"

GitLab CI : utilisez la CLI Infisical dans un before_script. Ajoutez INFISICAL_TOKEN dans les variables CI/CD du dépôt.

before_script:
  - infisical run --env prod -- env | grep MY_SECRET

Docker Compose (runtime) : la CLI Infisical peut générer un fichier .env à la volée avant de lancer Compose, ou injecter directement via infisical run -- docker compose up -d. Évitez de stocker un .env généré dans une image — préférez l'injection à l'exécution pour ne jamais sérialiser un secret dans une couche Docker.

Error: connect ECONNREFUSED 127.0.0.1:6379 (Redis) — Redis n'est pas démarré ou le service infisical démarre avant que Redis soit prêt. Ajoutez depends_on: redis dans votre docker-compose.yml et vérifiez que le conteneur Redis est healthy avec docker compose ps. Si Redis tourne mais l'erreur persiste, contrôlez que REDIS_URL est bien redis://redis:6379 (nom du service Compose, pas localhost).

Error: unable to verify the first certificate (TLS) — le certificat Let's Encrypt n'a pas encore été émis (propagation DNS incomplète) ou Caddy/nginx ne peut pas atteindre l'ACME challenge. Vérifiez que le port 80 est ouvert dans votre pare-feu (ufw allow 80) — Caddy en a besoin pour le challenge HTTP-01 lors de l'émission initiale. Ensuite, basculez en challenge DNS-01 si l'IP est derrière un NAT.

docker compose up échoue avec Bind for 0.0.0.0:8080 failed: port is already allocated — un autre process écoute sur 8080. Changez le mapping de port dans Compose (8081:8080) et adaptez la config du reverse proxy en conséquence.

Page /admin/signup inaccessible après le premier login — c'est voulu : l'assistant ne s'affiche qu'une seule fois. Si vous avez besoin de le rejouer (instance de test), supprimez la table Organization et relancez Infisical.

Les secrets ne s'injectent pas dans GitHub Actions — vérifiez que l'environment passé à l'action correspond exactement au nom d'environnement créé dans Infisical (sensible à la casse : prod ≠ Prod).

Sauvegardes PostgreSQL : les secrets chiffrés vivent dans PostgreSQL. Planifiez un pg_dump quotidien avec docker exec infisical_postgres pg_dump -U infisical infisical > backup-$(date +%Y%m%d).sql. Chiffrez la sauvegarde avant de la transférer hors site — elle contient les secrets chiffrés au repos, mais une fuite de la base combinée à une fuite de ENCRYPTION_KEY expose l'ensemble du coffre-fort.

Mises à jour d'Infisical : l'image infisical/infisical:latest se met à jour à chaque nouveau tag. Pour une montée de version contrôlée, épinglez la version (v0.91.1), consultez le changelog GitHub avant chaque mise à jour (certaines versions comportent des migrations de base de données), puis procédez dans cet ordre :
1. docker compose pull pour télécharger la nouvelle image.
2. docker compose up -d — Docker Compose recrée uniquement les conteneurs dont l'image a changé.
3. Vérifiez que la page de connexion répond et que les journaux ne signalent pas d'erreur de migration.

Surveillance : exposez le endpoint /healthcheck d'Infisical dans votre outil de supervision (Uptime Kuma, Gatus) pour être alerté en cas d'interruption. Un coffre-fort de secrets inaccessible bloque tous les déploiements qui en dépendent.