集中管理并保护 GitLab CI、GitHub Actions、Kubernetes、Jenkins 和 Bitbucket 的凭据。通过在自己的基础设施上进行自托管部署，保持完全控制；也可部署在我们的安全欧盟云中。完全通过 ISO 27001 认证，符合 NIS2 和 DORA 标准。
全球超过 10,000 家公司信赖
在欧洲开发，完全符合GDPR和NIS2要求，并保障数据主权。
开发和基础设施符合信息安全的国际基准。
被欧洲各地的政府机构和高度监管行业选用。
本地部署意味着您的密码永远不会离开您的基础设施
独立研究显示，与竞争对手相比可节省30%
28.65M
2025 年新增泄露到公共 GitHub 的硬编码机密，同比增长 34%。
GitGuardian SoSS 2026
94 天
撤销已泄露 GitHub 机密所需的中位时间。大多数机密在泄露报告发布数周后仍然有效。
Verizon DBIR 2025
€3.87M
德国数据泄露的平均成本。工业领域高达 667 万欧元。
IBM CODB 2025
59%
供应链攻击中针对 CI/CD 运行器的受感染机器占比。
GitGuardian SoSS 2026
将凭据留在安全保管库之外是常见的共同点，通常发生在凭据被硬编码到脚本中、在内存转储中泄露，或超过有效期仍保持激活状态时。
2024 年 12 月
Cariad 的一次云配置错误导致与大众集团数十万辆电动汽车相关的敏感数据遭到泄露。泄露的数据集包括车辆实时状态、车主联系方式以及遍布欧洲的车辆的精确实时位置数据。
硬编码的 AWS 访问密钥在公共内存转储中暴露了数月之久，使攻击者能够未经授权访问 Cariad 系统使用的云存储桶。
混沌计算机俱乐部的安全研究人员发现了此次泄露，约 80 万辆电动汽车的数据遭到泄露，其中 46 万辆的精确 GPS 坐标被泄露。
2024 年 1 月
一名梅赛德斯-奔驰员工意外在公共仓库中发布了 GitHub 个人访问令牌（PAT）。该令牌授予了对公司内部 GitHub Enterprise Server 的完全访问权限，导致私有仓库和专有工程数据遭到泄露。
一个 GitHub 个人访问令牌被提交到公共仓库，并在被发现和撤销之前保持可访问达数月之久。
泄露的令牌授予了对内部源代码、云凭据、数据库连接字符串、API 密钥、SSO 密码、蓝图和设计文档的无限制访问权限。
2025 年 3 月
一个流行的 GitHub Action 在软件供应链攻击中遭到入侵。攻击者劫持了版本标签，迫使依赖此操作的自动化 CI/CD 工作流执行恶意代码。
攻击者将多个 GitHub Action 版本标签重新指向恶意提交，从而能够在仓库工作流中直接执行未经授权的代码。
CI/CD 机密泄露到 GitHub Actions 日志中。超过 23,000 个仓库受到影响，其中包括公开项目，其暴露的日志泄露了令牌、API 密钥和其他凭据。
Passwork 以自托管产品或我们主权欧盟云中的托管实例形式提供。零知识架构、API、Passwork CLI 和 Python SDK 在两种部署模式中完全相同。自托管版本支持隔离网络（气隙）部署。
Passwork 没有单独的"secret"实体。任何密码记录都可以充当用户和自动化管道的凭据。开发人员、管理员和 CI 服务账户共享相同的保管库结构、RBAC 和审计日志。每次读取、写入和删除操作都会记录用户、时间戳和操作类型。
加密和解密严格在客户端进行，即在浏览器、Passwork CLI 或 Python SDK 中。服务器仅存储加密后的密文。即使拥有服务器和数据库访问权限，系统管理员也无法读取机密值、附件内容或加密密钥。
Passwork CLI 工具在 GitLab CI、GitHub Actions、Bitbucket Pipelines 和 Kubernetes（使用 init 容器或 sidecar 模式）中于运行时获取机密。每次调用都会从服务器获取最新数据而不进行缓存，在本地解密，并在命令运行期间将其注入环境变量。
使用官方 Passwork CLI 镜像作为作业镜像。在“设置 → CI/CD → 变量”中将令牌设置为受保护变量。
在运行时从您控制的文件夹中获取机密 在作业运行期间将其注入环境变量 在 Passwork 审计日志中记录每次读取 在 Docker 步骤中运行 Passwork CLI。将令牌存储在仓库机密中，并将文件夹 ID 存储在仓库变量中。
适用于任何 GitHub 托管或自托管的运行器 消除供应链中的市场插件和第三方操作 支持通过每个工作流的限定范围服务账户使用 OIDC init 容器获取机密，将其写入基于内存的 emptyDir 卷，然后干净地退出。随后，您的应用可直接从该卷读取机密。
在 Pod 级别注入机密，而无需将值烘焙到容器镜像中 支持通过 sidecar 模式定期轮换凭据 将集群凭据集中保存在单个 Kubernetes Secret 中 在管道或步骤级别设置 passwork-cli 镜像。使用仓库变量存储令牌和文件夹 ID。
单个镜像声明即可覆盖所有部署步骤 分支和环境范围可清晰地映射到 Passwork 文件夹 与 Bitbucket Deployments 和审批门禁兼容 从您自己的作业中轮换 PostgreSQL、MySQL 或 API 密钥。生成新值，将其应用到目标系统，然后将更新后的凭据保存回 Passwork。
大多数目标系统仅需不到 30 行代码即可完成完整轮换 可从 Cron、GitHub Actions 或任何其他调度程序运行 在审计跟踪中记录谁在何时轮换了哪个机密 
stages: - deploy deploy_prod: stage: deploy image: passwork/passwork-cli:latest variables: PASSWORK_HOST: $PASSWORK_HOST PASSWORK_TOKEN: $PASSWORK_TOKEN PASSWORK_MASTER_KEY: $PASSWORK_MASTER_KEY script: - passwork-cli exec --folder-id "$SECRETS_FOLDER_ID" ./deploy.sh - name: Deploy with secrets run: | docker run --rm \ -e PASSWORK_HOST="${{ secrets.PASSWORK_HOST }}" \ -e PASSWORK_TOKEN="${{ secrets.PASSWORK_TOKEN }}" \ -e PASSWORK_MASTER_KEY="${{ secrets.PASSWORK_MASTER_KEY }}" \ -v ${{ github.workspace }}:/app -w /app \ passwork/passwork-cli:latest \ exec --folder-id "${{ vars.SECRETS_FOLDER_ID }}" ./deploy.sh initContainers: - name: fetch-secrets image: passwork/passwork-cli:latest env: - name: PASSWORK_HOST valueFrom: secretKeyRef: { name: passwork-credentials, key: host } - name: PASSWORK_TOKEN valueFrom: secretKeyRef: { name: passwork-credentials, key: token } command: ["sh", "-c", "passwork-cli exec --folder-id $SECRETS_FOLDER_ID env> / secrets/.env"] volumeMounts: - { name: secrets-volume, mountPath: /secrets } image: passwork/passwork-cli:latest pipelines: branches: main: - step: name: Deploy to production deployment: production script: - passwork-cli exec --folder-id "$SECRETS_FOLDER_ID" ./ deploy.sh import os, secrets, psycopg2 from passwork import Client client = Client(url=os.environ["PASSWORK_HOST"], token=os.environ["PASSWORK_TOKEN"]) new_password = secrets.token_urlsafe(32) admin = client.get_password(item_id=os.environ["PG_ADMIN_ITEM_ID"]) conn = psycopg2.connect(host=admin.fields["PG_HOST"], user=admin.login, password=admin.password) conn.autocommit = True with conn.cursor() as cur: cur.execute("ALTER ROLE %s WITH PASSWORD %s", (os.environ["PG_USER"], new_password)) item = client.get_password(item_id=os.environ["TARGET_ITEM_ID"]) item.password = new_password client.update_password(item) 您的 CI 服务账户与开发人员凭据一起管理。凭借相同的文件夹、权限和日志，平台工程师可以从单一仪表板审计每一次机密访问。
Passwork 服务器和传输网络只能看到加密的密文。机密仅以明文形式存在于您的运行器内，由 Passwork CLI 在部署命令执行期间本地解密。这种安全模式在自托管和主权欧盟云部署中保持一致。
NIS2、DORA、ISO 27001、BSI IT-Grundschutz 和 PCI DSS 要求的安全控制措施可直接映射到 Passwork 功能。在下次适用性声明审查或供应商安全问卷中使用此参考表。
| 要求 |
|---|
| 加密与密钥生命周期 |
| MFA 与强身份验证 |
| 人与机器的身份管理 |
| 身份验证信息处理 |
| 源代码访问 |
| 开发/测试/生产环境分离 |
| Kubernetes 管道机密 |
| 无硬编码机密 |
| 第三方 ICT 监督 |
一张详细表格，将 NIS2、DORA、ISO 27001、BSI IT-Grundschutz 和 PCI DSS 条款直接映射到 Passwork 功能。
两种部署模式，同一产品。选择符合您运营能力和合规性要求的方案。
| 维度 | Passwork 自托管 |
|---|---|
| 数据驻留 | 您的数据中心、您的 VPC 或隔离网络（air-gapped） |
| 密文访问 | 仅限于您的基础设施 |
| 明文解密 | 仅客户端解密；团队之外的任何人都无法访问 |
| DORA 第三方范围 | 无，由您自行运营 |
| 最适合 | 受监管行业、隔离网络系统和 BSI IT-Grundschutz 合规 |
| 获取第一个机密所需时间 | 数天（自管理安装） |
| 定价模式 | 按用户（永久或年度许可证） |
如果您的审计员询问谁能读取您的生产数据库密码，答案应该是人员名单，而不是供应商名单。自托管 Passwork 能为您提供这个答案。
无需离开浏览器即可搜索、自动填充和创建凭证。支持 Chrome、Firefox、Edge 和 Safari。
通过移动设备快速访问企业密码
使用 Passwork 身份验证应用进行便捷登录验证
在原生桌面应用中提供完整的密码管理功能
查看各套餐之间的差异，并为您的团队选择合适的安全级别和控制方式。
查看各套餐之间的差异，并为您的团队选择合适的安全级别和控制方式。
为中小型企业提供支持安全增长的核心功能
适用于大规模安全与管理需求的高级功能
根据您的基础设施、安全标准和独特业务需求量身定制。
加入数千名信任 Passwork 安全管理密码的 IT 专业人士行列。 立即开始免费试用或预约个性化演示。
无需离开浏览器即可搜索、自动填充和创建凭证。支持 Chrome、Firefox、Edge 和 Safari。
通过移动设备快速访问企业密码
使用 Passwork 身份验证应用进行便捷登录验证
在原生桌面应用中提供完整的密码管理功能
查看各套餐之间的差异，并为您的团队选择合适的安全级别和控制方式。
查看各套餐之间的差异，并为您的团队选择合适的安全级别和控制方式。
为中小型企业提供支持安全增长的核心功能
适用于大规模安全与管理需求的高级功能
根据您的基础设施、安全标准和独特业务需求量身定制。
加入数千名信任 Passwork 安全管理密码的 IT 专业人士行列。 立即开始免费试用或预约个性化演示。
立即在服务账户设置中撤销该令牌。审计日志将准确显示该令牌有效期间访问了哪些机密。确定后，轮换受影响的凭据，并从全新的服务账户签发新令牌。我们建议为每个管道使用专用服务账户，以防止单次泄露蔓延到整个基础设施。
任何采用真正零知识架构的供应商都无法在服务器端执行轮换，因为服务器不持有所需的解密密钥。相反，Passwork 提供可在您自己环境中运行的轮换脚本：用于 shell 脚本的 passwork-cli update，以及用于 PostgreSQL、MySQL 和 API 密钥的 Python SDK 示例。您可以通过 Cron 或任何其他编排器安排轮换，Passwork 会安全地存储新生成的值。
对于自托管部署，我们在任何情况下都无法访问您的基础设施或数据。对于我们的主权欧盟云，我们只能看到加密的密文。由于我们的零知识架构，所有敏感元数据都会在发送到服务器之前在客户端加密。Passwork 云管理员对您的凭据、加密密钥或审计日志完全不可见。
可以。自托管版本不需要任何出站网络连接。软件更新和许可证激活可以完全离线管理。DACH 地区的多家企业客户在完全隔离、断网的网络中运行 Passwork。
每个管道都分配有专用的服务账户。运行器使用限定到特定文件夹的访问令牌进行身份验证，该令牌作为受保护的 CI/CD 变量存储。在典型的 CI/CD 工作流中，主密钥绝不会暴露给运行器，也不会由其处理。
请参阅我们的合规性部分。保管库和加密策略直接对应 NIS2 第 21(2)(h) 条和 DORA 第 9(4)(d) 条。MFA 和强身份验证符合 NIS2 第 21(2)(j) 条和 ISO 27001 A.8.5。具有最小权限访问的服务账户满足 ISO 27001 A.5.16 和 BSI APP.4.4 的要求。我们可以在技术演示中为您详细介绍这些具体控制措施。
Passwork 充当团队成员和自动化管道的安全凭据保管库，具备细粒度的 RBAC 和完整的审计日志记录。它旨在与 CyberArk 或 Delinea 等传统 PAM 解决方案共存。您可以在需要时继续使用这些平台进行特权会话代理、即时提权或会话录制。
将您的源保管库导出为 JSON 或 YAML。然后，您可以运行我们的 Python SDK 迁移模板，将现有字段自动映射到 Passwork 记录、文件夹和标签。我们的团队将提供必要的脚本，并在最终切换前协助您进行试运行。
如果您尚未收到电子邮件，请检查您的垃圾邮件文件夹或通过以下方式联系我们 [email protected]
请填写下面的表格以获取报告副本
请填写下面的表格以获取 NIS2 指南副本
填写以下表单以获取您的合规性映射副本
无需信用卡 
