O Varlock é uma camada de configuração de ambiente e gerenciamento de segredos de código aberto projetada para evitar a exposição de segredos a agentes de programação via texto simples (plaintext). Em vez de confiar em convenções informais do tipo .env.example, o Varlock introduz um arquivo .env.schema versionado que descreve nomes de variáveis, tipos, regras de validação e documentação. Ele separa o contrato de configuração dos valores reais. Os segredos são resolvidos e injetados em tempo de execução a partir de cofres externos, como 1Password, AWS Secrets Manager ou Azure Key Vault. Para cargas de trabalho nas quais um agente deve chamar um serviço autenticado, o Varlock também oferece um proxy de credenciais que fornece um placeholder para o agente e substitui pelo valor real apenas no limite da rede. Achamos esse um padrão útil que substitui scripts auxiliares ad hoc e estende a injeção de segredos em múltiplos ambientes sem expor credenciais.
