Keeper: Secret Store Embedded untuk Go yang Bisa Kamu Audit Sendiri

Nah, kalau kamu developer Go yang mulai paranoid soal environment variables dan secret management, ada project menarik nih yang baru muncul di Hacker News. Namanya Keeper.

Ini bukan tools besar kayak HashiCorp Vault yang butuh infrastruktur sendiri. Keeper itu embedded—artinya tinggal import ke aplikasi Go kamu, dan dia jadi secret store lokal yang terenkripsi.

Default encryption-nya pakai XChaCha20-Poly1305 untuk data, dan Argon2id untuk key derivation. Dua-duanya modern dan direkomendasikan buat implementasi kriptografi sekarang.

Keeper punya empat security level yang bisa kamu pilih sesuai kebutuhan. Mulai dari yang paling simpel sampai yang lebih paranoid. Ada juga audit chain, jadi kamu bisa trace siapa yang akses apa dan kapan.

Fitur menarik lainnya: crash-safe rotation. Jadi kalau aplikasi kamu crash di tengah proses rotate secret, datanya tetap aman dan nggak corrupt. Ini detail kecil yang sering diabaikan tapi penting banget di production.

Kenapa nggak pakai Vault aja? Ya, Vault itu powerful, tupunya overhead. Butuh server, butuh setup, butuh maintenance. Buat banyak use case, itu overkill. Keeper hadir buat yang pengin solusi sederhana tanpa kompromi keamanan.

Yang bikin project ini beda: developer-nya explicitly bilang kalau ini masih early stage. Dia minta orang buat cari bug. Race conditions, memory leaks, crypto misuse, edge cases—semua diterima.

Nggak ada security through obscurity di sini. Semua transparan. README-nya ada full security model breakdown kalau kamu pengin baca dan kritik.

Buat kamu yang suka audit kode atau penasaran gimana implementasi secret store yang proper, ini kesempatan bagus. Bisa belajar dari codebase-nya sambil bantu improve.

Practical takeaway-nya: kalau kamu lagi bikin aplikasi Go yang perlu nyimpen secret lokal—API keys, database credentials, token—dan nggak mau repot dengan Vault, coba lihat Keeper. Tapi ingat, masih early stage, jadi jangan langsung deploy ke production tanpa review dulu.

Bisa juga jadi referensi belajar implementasi cryptography yang benar di Go. Lihat gimana dia handle Argon2id, enkripsi authenticated, dan crash recovery. Itu skill transferable ke project lain.