AWS Secrets Manager vs HashiCorp Vault vs CipherVault: como escolher
Comparativo técnico das três plataformas mais usadas em gestão de segredos, com critério de escolha por cenário: AWS-only, multi-cloud, on-premise e regulação brasileira.
Decidir entre AWS Secrets Manager, HashiCorp Vault e CipherVault não é uma escolha técnica universal — depende fundamentalmente do escopo da sua infraestrutura, requisitos regulatórios e modelo operacional. Vamos passar por cada uma e mostrar quando cada uma faz sentido.
O eixo principal: onde ficam seus workloads
Esse é o primeiro filtro. Se 100% da sua infraestrutura está em uma única cloud (digamos, AWS), o Secrets Manager nativo é integrado, simples e suficiente para muitos casos. Se você tem workloads em múltiplas clouds, on-premise ou híbridos, ferramentas cloud-agnósticas (Vault, CipherVault) viram pré-requisito.
AWS Secrets Manager
Forças
- Integração nativa com RDS, Aurora, DocumentDB, Redshift — rotação automática pronta
- IAM granular: cada chamada usa identidade do workload (EC2 Role, ECS Task Role, Lambda Role)
- Auditoria via CloudTrail (combinada com KMS para criptografia)
- Zero operação: AWS gerencia disponibilidade, replicação multi-AZ, backup
Limitações
- Sem suporte real a workloads fora da AWS (você pode chamar, mas perde o IAM nativo)
- Sem PKI, sem SSH CA, sem tokenização — você precisa orquestrar com Private CA, IAM Roles Anywhere, etc
- Custo escala com número de secrets E número de API calls — em microsserviços com hot reload, vira surpresa no faturamento
- Sem aprovação dupla nativa para operações sensíveis
Quando faz sentido
100% AWS, workloads stateful tradicionais (RDS, EC2, ECS), poucas integrações com SaaS externas, requisitos regulatórios cobertos pelo SOC 2 da AWS, time pequeno sem capacity para operar plataforma de gestão de segredos.
HashiCorp Vault
Forças
- Multi-cloud e on-premise nativos
- Ecossistema amplo: integrações com praticamente todo provedor relevante via plugins
- Dynamic Secrets robustos para bancos, AWS, GCP, Azure
- PKI as a Service maduro, SSH CA, transit encryption
- Modelo de policy expressivo (HCL) para casos complexos
Limitações
- Mudança de licença para BSL em 2023 criou incerteza para uso comercial
- Features Enterprise (FPE, replicação multi-região, Sentinel) custam caro e são pré-requisito em muitos casos reais
- Curva de aprendizado significativa (HCL policies, seal/unseal, mount engines)
- Operação exige time dedicado para upgrades, backup, observabilidade
- Suporte internacional com SLA em fuso horário não-brasileiro
Quando faz sentido
Multi-cloud com time DevOps maduro, orçamento confortável para tier Enterprise se precisar de features pagas, equipe já familiar com ecossistema HashiCorp (Terraform, Consul, Nomad), tolerância a operar plataforma complexa.
CipherVault
Forças
- Paridade técnica com Vault Enterprise (dynamic secrets, PKI, SSH CA, workload identity SPIFFE)
- Features Enterprise sem paywall: tokenização FPE, replicação CRDT, quórum dinâmico
- Vault Fortress (8 camadas com Shamir 3-of-5 e Blind Index) — arquitetura exclusiva
- Conformidade LGPD nativa, sediado no Brasil
- Suporte e implementação em português, em fuso horário brasileiro
- TCO previsível em BRL, sem armadilha de "active node hours"
Limitações
- Sem versão open source pública (decisão deliberada para garantir SLA enterprise)
- Ecossistema de plugins menor que o Vault — coberto pelos engines core, mas se você depende de plugin de comunidade muito específico do Vault, vale conversar antes
- Menos referencias publicas (mercado mais novo no Brasil)
Quando faz sentido
Empresas brasileiras com requisitos regulatórios locais (BACEN, LGPD, ANS, ANPD), operações multi-cloud ou híbridas, necessidade de features Enterprise sem licenciar tier mais caro, preferência por suporte em português e parceiro nacional.
Matriz de decisão rápida
- 100% AWS, time pequeno, sem requisitos de PKI complexos: AWS Secrets Manager
- Multi-cloud, time DevOps maduro, orçamento Enterprise OK: HashiCorp Vault Enterprise
- Multi-cloud, requisitos brasileiros (LGPD, BACEN), suporte em português: CipherVault
- On-premise air-gapped, regulatório crítico: CipherVault Enterprise ou Vault Enterprise
- Cenário híbrido: muitas vezes faz sentido combinar (Secrets Manager para RDS + Vault/CipherVault para resto)
O que normalmente é decisivo na prática
Em conversas com times de plataforma, os três fatores que mais pesam são: (1) custo total a 24 meses considerando crescimento esperado, (2) tempo de implementação até primeira PoC funcional, (3) qualidade do suporte quando algo der errado em produção às 3h da manhã. Avalie esses três com vendor calls dos três fornecedores antes de decidir.