Segredos e estado de um servidor

Um servidor guarda duas coisas suas, e elas são diferentes: as chaves que você informa e o login que ele mesmo faz. Cada uma é protegida de um jeito, e confundi-las leva à decisão errada de segurança.

As chaves que você informa

São variáveis, no mesmo formato de um arquivo de configuração comum: um nome e um valor por linha. O conjunto inteiro é guardado cifrado. Só os nomes ficam legíveis, e por um motivo prático: é o que permite a tela listar o que está configurado sem precisar abrir nada.

Ao digitar, o valor aparece mascarado, com a opção de revelar. Depois de salvo, só o nome volta para a tela — o valor não sai mais de lá.

É exatamente o mesmo formato das variáveis de ambiente do cofre, de propósito: um formato só, um comportamento só.

O login que o servidor faz sozinho

Alguns servidores não se autenticam por chave: eles abrem um login, você aprova, e eles guardam o resultado num arquivo próprio. Esse arquivo é empacotado e cifrado inteiro.

Ele tem tamanho máximo, e a justificativa cabe numa frase: isso é credencial, não backup.

Na prática, cada servidor tem um espaço próprio e isolado. Ele é restaurado quando a máquina do agente sobe e recolhido quando a execução termina — e só quando houve mudança de verdade, para não reescrever a mesma coisa a cada conversa.

O que fica fora desse espaço isolado são os arquivos temporários de download dos pacotes. Isolar esses também daria a cada servidor um cache vazio, e o adiantamento feito na partida não serviria para nada. Isolar o login e não isolar o cache é a escolha certa: um é credencial, o outro é só velocidade.

Como isso difere do cofre

A diferença que importa: o valor de uma chave de servidor chega ao programa de terceiro — é para isso que ele existe. O cofre foi desenhado para o valor nunca passar por ninguém. São níveis de exposição diferentes, e é o que torna a escolha de cadastrar um servidor por pacote uma decisão de confiança, não de configuração.