Setup env vars et secrets manager (audit + remédiation)

---
name: setup-env-dotenv-secrets
description: "Audite et structure la gestion des variables d'environnement et des secrets d'un projet Node, Next, Python ou Go. Vérifie la séparation .env.local / .env.example, l'exclusion .gitignore, l'usage d'un secret manager pour la prod (Doppler, Infisical, AWS SSM, GCP Secret Manager, Vercel Environment Variables, Scaleway Secret Manager), la présence d'un schéma de validation au boot. Produit une checklist de remédiation et un .env.example propre. À utiliser quand un dev démarre un nouveau projet, reprend un repo legacy, prépare un onboarding ou audite la sécurité avant déploiement."
metadata:
  iaskills_title: "Setup env vars et secrets manager (audit + remédiation)"
  metier_slug: dev
  metiers:
    - Mode technique
  secteur: "Tech & DSI"
  tier: free
  compatible:
    - claude-code
    - cowork
    - cursor
    - codex
  version: "1.0.0"
  author: "iaskills"
  editorial:
    pitch: "Audit complet env vars et secrets : séparation .env.local et .env.example, .gitignore, secret manager prod, validation au boot. Checklist + .env.example propre."
    long_description: "Audite la gestion des variables d'environnement et des secrets d'un projet (Node, Next.js, Python, Go) et produit une checklist de remédiation. Vérifie 8 points clés : séparation .env.local et .env.example, exclusion correcte dans .gitignore, absence de secrets commités dans l'historique Git, usage d'un secret manager pour la prod (Doppler, Infisical, AWS SSM, GCP Secret Manager, Vercel Environment Variables, Scaleway Secret Manager FR), validation des env vars au boot avec un schéma (zod, pydantic, envalid), variables PUBLIC clairement préfixées (NEXT_PUBLIC_), rotation documentée des secrets, traces dans les logs nettoyées. Produit aussi un fichier .env.example propre, sans valeur réelle, avec commentaires courts par variable. Adapté tech leads, dev seniors, freelances, équipes SRE en TPE/PME tech."
    bullets:
      - "Audit en 8 points (séparation, gitignore, secret manager, validation)"
      - "Détection secrets dans l'historique Git"
      - "Recommandations pour la prod (Doppler, Vercel, Scaleway)"
      - "Schéma de validation au boot (zod, pydantic, envalid)"
      - "Génération .env.example propre"
    exemple_avant: "Le repo a un .env commité depuis 2 ans, mélange dev et prod, pas de .env.example, pas de validation au boot. Le nouveau dev passe 1h30 à comprendre quelles variables sont obligatoires et lesquelles sont juste optionnelles. La clé Stripe live traîne dans l'historique."
    exemple_apres: "Audit en 5 minutes : 8 points, dont 3 critiques (Stripe live commité, pas de .env.example, pas de validation au boot). Plan de remédiation chiffré (rotation Stripe immédiate, ajout schéma zod côté Next, .env.example généré, doc onboarding mise à jour). Le nouveau dev démarre en 10 minutes."
    recommended_metiers:
      - dirigeant-pme
    secteurs:
      - tech-dsi
      - startup-vc
      - conseil-audit
      - finance-comptabilite
    metiers_individuels:
      - dev-backend
      - dev-frontend
      - devops
      - cto
      - architecte-si
      - rssi-cybersecurite
      - chef-de-projet-it
      - business-developer
---

# Setup env vars et secrets manager (audit + remédiation)

## Quand utiliser ce skill

Déclencher quand un développeur, tech lead, freelance ou DSI doit auditer ou structurer la gestion des variables d'environnement et des secrets d'un projet (Node, Next.js, Python, Go, ou stack mixte).

À utiliser pour :

- Démarrage d'un nouveau projet TypeScript, Python ou Go
- Reprise d'un repo legacy avec un .env mal géré
- Onboarding d'un nouveau dev (pour qu'il démarre en quelques minutes, pas en 1h30)
- Audit avant déploiement prod (vérifier que rien de sensible ne traîne)
- Migration d'un .env vers un secret manager (Doppler, Infisical, AWS SSM, Scaleway Secret Manager)
- Préparation d'un release majeur, contrôle final secrets

Ne pas utiliser pour :

- Migration applicative complexe (utiliser un skill dédié à la migration de stack)
- Audit RGPD complet de l'application (skill séparé, périmètre plus large)
- Mise en place d'un IAM SSO (Auth0, Okta) (sujet plus large)
- Setup d'un coffre type Vault HashiCorp en haute dispo (architecture)