---
title: "Gestor de secrets al núvol: què és i com triar-ne un"
url: https://uselinkpilot.com/ca/blog/cloud-secret-manager
description: "Què desa i protegeix un gestor de secrets al núvol, com triar entre AWS, Google, Azure o Vault, com implantar-lo i el buit en el lliurament a persones."
lang: ca
---

Seguretat (https://uselinkpilot.com/ca/blog/category/security)

# Gestor de secrets al núvol: què és, com triar-ne un i què no cobreix

Què desa i protegeix un gestor de secrets al núvol, com triar entre AWS, Google, Azure o Vault, com implantar-lo i el buit en el lliurament a persones.

LinkPilot Team (https://uselinkpilot.com/ca/author/linkpilot-team) · Les persones que desenvolupen i gestionen LinkPilot a TetraCore, LLC 26 d’octubre del 2026 · Sobre LinkPilot (https://uselinkpilot.com/ca/about)

Tard o d'hora, tots els equips arriben al punt en què les credencials són en massa llocs: un `.env` a cada portàtil, un missatge fixat a Slack, un full de càlcul que es diu «accessos», una variable de CI que algú va definir fa dos anys. Un gestor de secrets al núvol serveix per reunir tot això en un sol lloc xifrat, amb control d'accés i auditat.

Aquesta guia explica què fa un gestor de secrets al núvol, com triar entre les opcions principals, com implantar-lo sense una migració llarga i l'única feina que no fa: fer arribar un secret a una persona que no és dins del vostre compte al núvol.

## Què fa un gestor de secrets al núvol

Un gestor de secrets desa valors confidencials i els lliura a les identitats autoritzades quan els demanen. Les funcions bàsiques són les mateixes a tots els proveïdors:

- **Emmagatzematge xifrat** de les dades desades, amb les claus al servei de gestió de claus del proveïdor, i TLS durant la transmissió.
- **Accés basat en la identitat**: cada secret té una política que indica quins usuaris, rols o càrregues de treball el poden llegir, modificar o rotar. Una aplicació s'autentica amb la seva pròpia identitat, no amb una contrasenya mestra.
- **Registre d'auditoria** de cada lectura, escriptura i rotació, amb qui, què i quan.
- **Versions i rotació**: es pot preparar un valor nou, fer que les aplicacions hi passin i retirar la versió antiga. Molts gestors roten automàticament les credencials de les bases de dades.
- **Obtenció en temps d'execució**: l'aplicació obté el secret quan s'inicia o quan el necessita, de manera que el valor no s'escriu mai al codi, a les imatges ni als fitxers de configuració.

Un secret és qualsevol cosa que dona accés. La configuració que només descriu un comportament, com un número de port o un indicador de funció, va a la configuració normal. Barrejar-les omple de soroll el magatzem de secrets i fa perillós el de configuració.

## Com triar-ne un

La decisió sol dependre d'on s'executen les càrregues de treball i del nombre de núvols que feu servir.

| Opció | Encaixa millor amb | Atenció a |
| --- | --- | --- |
| AWS Secrets Manager / Parameter Store | Càrregues de treball que ja són a AWS, identitats IAM arreu | Preu per secret a Secrets Manager; Parameter Store és més barat per a valors simples |
| Google Secret Manager | Projectes de GCP, càrregues de treball a Cloud Run i GKE | Opcions de replicació regional |
| Azure Key Vault | Càrregues de treball a Azure, gestió del cicle de vida dels certificats | Caixes fortes separades per entorn perquè les polítiques siguin simples |
| HashiCorp Vault | Diversos núvols o servidors propis, credencials dinàmiques de curta durada | Haver-lo de gestionar vosaltres, si no feu servir la versió allotjada |
| Doppler, Infisical, 1Password Secrets Automation | Equips petits que volen una sincronització còmoda per a desenvolupadors amb moltes plataformes | Un proveïdor més a la cadena de confiança |

Quatre preguntes resolen la majoria de decisions. S'integra amb les eines de desplegament i l'entorn d'execució sense codi de connexió fet a mida? Les càrregues de treball s'hi poden autenticar amb la identitat que ja tenen? Rota els tipus de credencials que teniu de debò? I els registres d'auditoria arriben allà on ja mira l'equip de seguretat? El preu, les regions i les certificacions de compliment venen després d'aquestes quatre.

## Implantar-lo sense un projecte de sis mesos

1. **Feu inventari i assigneu responsables.** Feu la llista de cada secret, on és, què el fa servir i qui en respon. La persona responsable decideix la política de rotació i la llista d'accés.
2. **Configureu primer les identitats.** Creeu els rols o els comptes de servei per a cada càrrega de treball i cada entorn abans de moure cap valor. Les polítiques d'accés del tipus «aquest servei, aquest entorn, només lectura» són precisament l'objectiu.
3. **Migreu per ordre de risc.** Primer les contrasenyes de les bases de dades de producció i les claus de pagament, després les claus d'API de tercers i després tota la resta. Traieu cada valor del codi, de les variables de CI i dels fitxers de configuració a mesura que el moveu, i roteu-lo en entrar, perquè el valor antic ja s'ha copiat per tot arreu.
4. **Canvieu com les aplicacions llegeixen els secrets.** Substituïu els valors escrits al codi i els fitxers d'entorn per una crida a l'SDK del gestor en iniciar-se, o injecteu-los amb la integració nativa de la plataforma.
5. **Activeu la rotació** de tot el que el gestor pugui rotar sol, i escriviu una funció de rotació o un procediment per a la resta.
6. **Configureu alertes per al que sigui inusual.** Una lectura d'un secret des d'una identitat nova, un pic de lectures o una lectura des d'una regió on no desplegueu mereixen un avís a la persona de guàrdia.

Els errors habituals són previsibles: deixar les còpies antigues on eren després de la migració, donar a una càrrega de treball accés de lectura a tot el magatzem en lloc de només als seus secrets i escriure el valor obtingut als registres de l'aplicació.

## El buit que un gestor de secrets no cobreix

Un gestor de secrets està pensat per a màquines i per a les persones que són dins del vostre sistema d'identitats. No està pensat per al moment en què una credencial ha d'arribar a algú de fora: un col·laborador extern que necessita una contrasenya temporal d'una base de dades, un client que rep el seu primer accés d'administrador, un enginyer d'un proveïdor que necessita un testimoni per a una tarda, una persona nova el primer dia, abans que tingui el compte d'inici de sessió únic.

Aquests lliuraments passen igualment, i sense una via autoritzada passen per correu i per xat, que és precisament d'on els gestors de secrets havien de treure les credencials. La via autoritzada és un enllaç secret d'un sol ús (https://uselinkpilot.com/ca/tools/free-secret-link-generator). El valor es xifra al vostre navegador abans de desar-se, el missatge només porta un enllaç, la còpia desada es destrueix la primera vegada que s'obre l'enllaç i, si ningú no l'obre, l'enllaç caduca al cap d'un temps fixat.

El patró que funciona: el gestor de secrets és el sistema de referència, i l'enllaç d'un sol ús és el mitjà de lliurament quan una persona de fora del sistema necessita un valor una sola vegada. Genereu la credencial, deseu-la al gestor, envieu-la a la persona amb un enllaç d'un sol ús i roteu-la quan se li acabi l'accés. Enllaços secrets o gestors de contrasenyes (https://uselinkpilot.com/ca/blog/secret-links-vs-password-managers) aplica el mateix raonament al gestor de contrasenyes de l'equip, i la guia sobre les credencials entre equips (https://uselinkpilot.com/ca/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams) explica la rutina.

## Una llista de comprovació breu

- Cada secret té una persona responsable, una política d'accés i una regla de rotació.
- Les càrregues de treball s'autentiquen amb la seva pròpia identitat, mai amb una clau compartida.
- Després de la migració no queda cap secret al codi, a les imatges, a les variables de CI ni al xat.
- Les lectures es registren en un lloc on algú mira de debò.
- Les persones de fora del sistema d'identitats reben els secrets amb un enllaç d'un sol ús, no amb un missatge.

Feu aquestes cinc coses i el gestor de secrets deixarà de ser un producte que vau comprar i passarà a ser el motiu pel qual les credencials han deixat de filtrar-se.

## Lectures relacionades

- Com compartir claus d'API de manera segura: https://uselinkpilot.com/ca/blog/how-to-share-api-keys-securely
- Compartir enllaços de manera segura per a desenvolupadors: https://uselinkpilot.com/ca/blog/secure-link-sharing-for-developers
- Com crear una manera segura de traspassar credencials entre equips: https://uselinkpilot.com/ca/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams
- Enllaços secrets o gestors de contrasenyes: https://uselinkpilot.com/ca/blog/secret-links-vs-password-managers

## Eines per a aquest article

Generador d'enllaços secrets d'un sol ús

Compartiu una contrasenya o una nota amb un enllaç que només s'obre una vegada.
https://uselinkpilot.com/ca/tools/free-secret-link-generator

Missatge que s'autodestrueix

Envieu una nota que desapareix després de llegir-la una vegada.
https://uselinkpilot.com/ca/tools/burn-after-read-secret

Generador d'enllaços amb caducitat

Creeu enllaços que deixen de funcionar en un moment determinat.
https://uselinkpilot.com/ca/tools/temporary-link

## Preguntes freqüents

### Què és un gestor de secrets al núvol?

### Què s'ha de desar en un gestor de secrets?

### Com hi llegeixen els secrets les aplicacions?

### Cada quant s'han de rotar els secrets?

### Els gestors de secrets xifren els valors desats?

### Quina diferència hi ha entre desar secrets i compartir-los?

## LinkPilot envia un enllaç secret que desapareix després d'obrir-lo.

Es xifra al vostre navegador, es mostra una sola vegada i després es destrueix. Sense compte.

Crea un enllaç secret (https://uselinkpilot.com/ca/tools/free-secret-link-generator)

## Llegiu també

Seguretat

### Clau d'accés i clau secreta d'AWS: crear, usar, rotar i compartir amb seguretat

Què són l'ID de clau d'accés i la clau secreta d'AWS, per què el secret es mostra una vegada, com rotar-les, què fer si es filtren i com compartir-les.
https://uselinkpilot.com/ca/blog/aws-access-key-and-secret-key

Seguretat

### Compartir credencials SSH amb un enllaç que caduca

Millor la clau pública del destinatari. Si cal moure una clau privada o una contrasenya, envieu-la amb un enllaç d'un sol ús i el servidor i l'usuari a part.
https://uselinkpilot.com/ca/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Seguretat

### Com compartir credencials de manera segura sense correu

Quatre maneres de compartir una contrasenya sense correu, quan convé cadascuna i els passos per crear un enllaç temporal que es destrueix en obrir-se.
https://uselinkpilot.com/ca/blog/how-to-share-credentials-securely-without-email

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Inici",
        "item": "https://uselinkpilot.com/ca"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/ca/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Gestor de secrets al núvol: què és, com triar-ne un i què no cobreix",
        "item": "https://uselinkpilot.com/ca/blog/cloud-secret-manager"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/ca/blog/cloud-secret-manager#article",
    "headline": "Gestor de secrets al núvol: què és, com triar-ne un i què no cobreix",
    "description": "Què desa i protegeix un gestor de secrets al núvol, com triar entre AWS, Google, Azure o Vault, com implantar-lo i el buit en el lliurament a persones.",
    "inLanguage": "ca",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/ca/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/ca/blog/cloud-secret-manager"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Què és un gestor de secrets al núvol?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Un servei gestionat que desa de manera xifrada credencials com ara claus d'API, contrasenyes de bases de dades i certificats, controla quines identitats poden llegir cadascuna, registra cada accés i pot rotar els valors periòdicament. Les aplicacions n'obtenen els secrets en temps d'execució en lloc de tenir-los al codi o a la configuració."
        }
      },
      {
        "@type": "Question",
        "name": "Què s'ha de desar en un gestor de secrets?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Tot el que doni accés: contrasenyes, claus d'API, testimonis, claus privades, certificats, cadenes de connexió amb credencials incloses. La configuració normal, com els nivells de registre i els indicadors de funció, va a la configuració, no al magatzem de secrets."
        }
      },
      {
        "@type": "Question",
        "name": "Com hi llegeixen els secrets les aplicacions?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Amb l'SDK o la CLI del proveïdor, autenticades amb la identitat de la mateixa càrrega de treball, per exemple un rol d'IAM o un compte de servei de Kubernetes. L'aplicació no té mai una credencial de llarga durada per accedir al magatzem de secrets."
        }
      },
      {
        "@type": "Question",
        "name": "Cada quant s'han de rotar els secrets?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Periòdicament, en el cas dels valors de llarga durada que ho admeten, i immediatament quan passa alguna cosa: una baixa, un canvi de proveïdor, qualsevol sospita d'exposició. La majoria de gestors poden rotar automàticament les contrasenyes de les bases de dades; les claus d'API de tercers solen necessitar una funció de rotació o un pas manual."
        }
      },
      {
        "@type": "Question",
        "name": "Els gestors de secrets xifren els valors desats?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Sí, els xifren en repòs amb una clau que es conserva al servei de gestió de claus del proveïdor, i durant la transmissió amb TLS. L'accés depèn igualment dels permisos que definiu, de manera que el xifratge no protegeix d'una política massa àmplia."
        }
      },
      {
        "@type": "Question",
        "name": "Quina diferència hi ha entre desar secrets i compartir-los?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Desar-los és decidir on viu un secret i com l'obtenen al llarg del temps les màquines i les persones autoritzades. Compartir-los és el moment en què un valor ha d'arribar a una persona que no és dins d'aquest sistema: un col·laborador extern, un client, algú que s'acaba d'incorporar. Un gestor de secrets fa el primer. Un enllaç secret d'un sol ús fa el segon sense deixar cap còpia en un missatge."
        }
      }
    ],
    "inLanguage": "ca"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```