Secrets Management

Alle secrets i Impulse AI administreres gjennom Doppler. Ingen .env-filer i produksjon — alt injiseres via Doppler.

Arkitektur

                ┌─ doppler run ────────────> din terminal (lokal dev)
                │
                ├─ DOPPLER_TOKEN_STG ──────> GitHub Actions (CI + staging)
Doppler ────────┤
(sentralt lager)├─ DOPPLER_TOKEN_PRD ──────> GitHub Actions (prod deploy)
                │
                ├─ stg config ─────────────> Railway staging (via integrasjon)
                ├─ prd config ─────────────> Railway production (via integrasjon)
                └─ prd config ─────────────> Vercel (via integrasjon)

Tre configs

Config	Miljoe	Brukes av
dev	Lokal utvikling	Din maskin via doppler run
stg	Staging	GitHub Actions (CI + staging deploy), Railway staging (via integrasjon)
prd	Production	GitHub Actions (prod deploy + iOS release), Railway production (via integrasjon), Vercel (via integrasjon)

Lokal utvikling

Foerstegangoppsett

# 1. Installer Doppler CLI
brew install dopplerhq/cli/doppler

# 2. Logg inn
doppler login

# 3. Koble til prosjektet (doppler.yaml finnes i repo-roten)
doppler setup

Daglig bruk

# Start alt med secrets injisert:
doppler run -- pnpm dev

# Bare API-serveren:
doppler run -- pnpm --filter api dev

aside.tip

Du trenger ingen .env.local-fil naar du bruker doppler run. Alle env vars injiseres automatisk.

Komplett variabelreferanse

NEXT_PUBLIC_* konvensjon

Variabler med NEXT_PUBLIC_-prefiks er Next.js-spesifikke — prefikset gjør dem synlige i klient-side JavaScript. Disse brukes kun av Next.js web-apper (Console, Landing) og @im/auth-pakken. API-serveren (Fastify) og mobile apper bruker egne konfigurasjoner (Doppler direkte / KMP Environment.kt).

Supabase

Variabel	Beskrivelse	Miljoer
SUPABASE_URL	Supabase API URL	dev, stg, prd
SUPABASE_SECRET_KEY	Supabase service role key	dev, stg, prd
NEXT_PUBLIC_SUPABASE_URL	Supabase URL (klient-synlig)	dev, stg, prd
NEXT_PUBLIC_SUPABASE_PUBLISHABLE_KEY	Supabase anon key (klient-synlig)	dev, stg, prd
SUPABASE_PROJECT_REF	Prosjekt-referanse for CLI	stg, prd
SUPABASE_ACCESS_TOKEN	Supabase CLI access token	stg, prd

AI

Variabel	Beskrivelse	Miljoer
ANTHROPIC_API_KEY	Anthropic API-noekkel (Claude)	dev, stg, prd
VOYAGE_API_KEY	Voyage AI API-noekkel (embeddings)	dev, stg, prd
AI_MODEL_FAST	Override: modell for raske operasjoner (default: claude-sonnet)	dev (haiku for billigere lokal dev)
AI_MODEL_BALANCED	Override: modell for balanserte operasjoner (default: claude-sonnet)	Ikke i Doppler (bruker default)
AI_MODEL_QUALITY	Override: modell for kvalitetsoperasjoner (default: claude-sonnet)	Ikke i Doppler (bruker default)

Infrastruktur

Variabel	Beskrivelse	Miljoer
REDIS_URL	Redis connection string	dev, stg, prd
API_PORT	API-serverport (default: 3001)	dev
WEB_URL	Web-app URL	dev, stg, prd
NEXT_PUBLIC_API_URL	API URL (klient-synlig)	dev, stg, prd
LOG_LEVEL	Loggnivaa (info/debug/warn)	stg (info), prd (warn)
NODE_ENV	Node environment	stg, prd (production)
RAILWAY_API_URL	Railway intern API-URL (settes automatisk)	stg, prd
TURBO_DISABLED	Deaktiver Turborepo caching i CI	stg, prd

Monitorering

Variabel	Beskrivelse	Miljoer
SENTRY_DSN	Sentry DSN for API feilsporing	stg, prd (delt DSN)

Apple Auth (Supabase GoTRUE)

Variabel	Beskrivelse	Miljoer
SUPABASE_AUTH_EXTERNAL_APPLE_CLIENT_ID	Bundle ID (com.digiteers.impulseai)	dev
SUPABASE_AUTH_EXTERNAL_APPLE_SECRET	Apple client secret JWT (180d gyldighet)	dev
APPLE_AUTH_KEY_P8	Apple Sign-In .p8 privatnoekkel (brukes til a generere secret)	prd
APPLE_AUTH_SECRET_EXPIRES_AT	Utloepsdato for Apple auth secret (metadata)	prd

APPLE_CLIENT_ID og APPLE_SECRET brukes kun av lokal Supabase via config.toml. Hosted Supabase (stg/prd) konfigureres i Supabase Dashboard → Authentication → Providers → Apple.

APPLE_AUTH_KEY_P8 lagres i Doppler prd slik at CI-workflows kan regenerere Apple-secreten automatisk. Se Apple Secret Rotation for detaljer.

In-App Purchases

Variabel	Beskrivelse	Miljoer
APPLE_APP_SHARED_SECRET	App Store shared secret (kvitteringsvalidering)	stg, prd (delt)
GOOGLE_SERVICE_ACCOUNT_KEY	Google Play service account (base64)	prd
GOOGLE_PUBSUB_VERIFICATION_TOKEN	Google PubSub verification	prd

Auth og tilgang

Variabel	Beskrivelse	Miljoer
API_CLIENT_KEY	Klient-autentisering for API (X-API-Key header)	dev, stg, prd (unike per miljo)
HEALTH_SECRET	Beskytter health check-endepunkt	dev, stg, prd
ADMIN_DASHBOARD_TOKEN	Admin dashboard-tilgang	dev, stg, prd (delt noekkel)
CONSOLE_ADMIN_TOKEN	Console admin-autentisering (bearer token for /admin/* API)	dev, stg, prd
CONSOLE_ALLOWED_EMAILS	Kommaseparert allowlist for console-innlogging	stg, prd
DEV_API_TOKEN	Auth bypass-token for lokal testing	dev
DOCS_PASSWORD	Klient-side passord for docs-siden	stg, prd
DISABLE_CACHE	Deaktiver Redis cache	dev

iOS Signing og Release (kun CI, prd)

Variabel	Beskrivelse
APPLE_ID	Apple Developer e-post (janfredrik@digiteers.no)
TEAM_ID	10-tegn Apple Developer Team ID
ITC_TEAM_ID	App Store Connect team ID
MATCH_GIT_URL	Privat GitHub-repo for signing-sertifikater
MATCH_PASSWORD	Passord for Match-kryptering av sertifikater
MATCH_GIT_BASIC_AUTHORIZATION	Base64-kodet git auth for match-repo
ASC_KEY_ID	App Store Connect API Key ID
ASC_ISSUER_ID	App Store Connect Issuer ID
ASC_PRIVATE_KEY	App Store Connect .p8 privatnoekkel

GitHub Actions-integrasjon

GitHub Actions henter secrets fra Doppler via dopplerhq/secrets-fetch-action:

- name: Fetch secrets
  uses: dopplerhq/secrets-fetch-action@v1.3.0
  with:
    doppler-token: ${{ secrets.DOPPLER_TOKEN_STG }}
    inject-env-vars: true

To GitHub Secrets er konfigurert:

GitHub Secret	Kobler til	Brukes av
DOPPLER_TOKEN_STG	Doppler stg config	ci.yml, db-deploy (staging)
DOPPLER_TOKEN_PRD	Doppler prd config	deploy-production.yml, ios-release.yml, db-deploy (prod)

Railway-integrasjon

Doppler syncer automatisk til Railway via offisiell integrasjon. Secrets oppdateres i Railway innen sekunder etter endring i Doppler.

Doppler config	Railway-service	Railway Environment
stg	im-api (staging)	Staging (api-stg.impulseai.app)
prd	im-api (production)	Production (api.impulseai.app)

aside.tip

Endre en secret i Doppler → Railway oppdateres automatisk → neste deploy bruker nye verdier. Null manuell env var-vedlikehold i Railway.

Sett opp via Doppler Dashboard → Integrations → Railway → Add Sync.

Vercel-integrasjon

Doppler syncer automatisk til Vercel via offisiell integrasjon. Secrets oppdateres i Vercel innen sekunder etter endring i Doppler.

Doppler config	Vercel-prosjekt	Vercel Environment
prd	im-docs	Production

aside.tip

Endre en secret i Doppler → Vercel oppdateres automatisk → neste deploy bruker nye verdier. Null manuell env var-vedlikehold i Vercel.

Sett opp flere Vercel-prosjekter via Doppler Dashboard → Integrations → Vercel → Add Sync.

Legge til en ny secret

1. Gaa til Doppler Dashboard → prosjekt “im”
2. Velg riktig config (dev, stg, eller prd)
3. Klikk “Add Secret” → fyll inn navn og verdi
4. Gjenta for alle configs der variabelen trengs

aside.caution

Husk aa legge til i alle relevante configs. En secret som finnes i prd men ikke i stg vil faa CI til aa feile.

Lokalt: Restart doppler run -- pnpm dev CI: Automatisk tilgjengelig ved neste kjoering Railway: Trigger ny deploy

Key rotation

Naar en noekkel maa byttes (kompromittert, utloept, eller rutine):

Sjekkliste

1. Generer ny noekkel hos tjenesteleverandoeren (Anthropic, Supabase, etc.)
2. Oppdater i Doppler — alle miljoer: dev, stg, prd
3. Verifiser lokalt — doppler run -- pnpm --filter api dev + test
4. Trigger deploy — push til main (staging) + /deploy-prod (production)
5. Verifiser i prod — sjekk Railway logs for feil
6. Revoke gammel noekkel — foerst etter at ny noekkel er verifisert i prod

aside.caution

Aldri revoke den gamle nokkelen foer den nye er verifisert i produksjon. Overlapp er bedre enn nedetid.

Rotasjonsrutiner per tjeneste

Tjeneste	Rotasjonsfrekvens	Hvor genereres ny
Anthropic API Key	Ved behov	console.anthropic.com → API Keys
Voyage API Key	Ved behov	dash.voyageai.com
Supabase Secret Key	Ved behov	Supabase dashboard → Settings → API
Supabase Access Token	Ved behov	supabase.com → Account → Access Tokens
ASC Private Key	Aarlig	App Store Connect → Integrations → API Keys
Apple Auth Secret	Hver 180. dag	node scripts/generate-apple-secret.js (krever .p8-fil)
Match Password	Aldri (med mindre kompromittert)	Velg selv

GitHub Environments

For ekstra beskyttelse paa produksjons-deploys:

Environment	Beskyttelse	Brukes av
staging	Ingen (auto-godkjent)	CI staging deploys
production	Required reviewer	Produksjons-deploys

Konfigurer i GitHub: Repo → Settings → Environments.