Prevents falling behindBuilding blockEstablished

Infisical

Infisical, Inc. ·infisical.com· As of: 2026-07-30

Keeps credentials, keys and certificates in one place, hands them out only to verified humans and machines, and logs every issue. That takes passwords out of chat threads, spreadsheets and source code.

Work through this tool with an AI

ClaudeChatGPTPerplexity

Our verdict

A vault for credentials makes no company distinguishable. It keeps you from falling behind: credentials in code, in chat and in spreadsheets are the most common route by which a business loses control of its own systems. Once automation and AI agents reach into systems on their own, the number of credentials grows faster than the number of people, and without a register nobody knows who may do what. That is the whole effect: no edge, just ground you do not lose. The edge sits behind the credentials, not in them.

Evidence:As of 2026-07-30Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced planOpen sourceAs of 2026-07-30Full list of 16 subprocessors, all located in the United StatesOpen sourceAs of 2026-07-30Separate US and EU regions in dedicated AWS accounts, encryption at rest, 365-day retention for infrastructure logsOpen sourceAs of 2026-07-30MIT licence for the core with the exception of the ee directory, which requires an Infisical licenceOpen sourceAs of 2026-07-3016 million US dollar Series A in June 2025 led by Elad GilOpen sourceAs of 2026-07-30Worldwide transfer and processing possible, GDPR data protection terms are offered, no publicly linked data processing documentOpen source

Who it fits

Solo

suitable

The free plan covers five identities. One human, one pipeline, two services, and the limit is reached. That carries a one-person shop, but the headroom is thin.

Mid-market

suitable

Twenty US dollars per identity per month stays calculable as long as the number of services is known. Anyone choosing self-hosting gets the core as open source and pays only for role permissions, corporate single sign-on and dynamic credentials.

Enterprise

suitable with caveats

According to the pricing page the SOC 2 Type II report is listed only from the Advanced plan at forty US dollars per identity, all sixteen named subprocessors sit in the United States, and no ISO 27001 certificate of the vendor itself is publicly evidenced. For a procurement process with a checklist that means: clarify first, sign later.

Buy, switch or build

Off-the-shelf

HashiCorp Vault or the cloud provider's own vault

Vault is the reference point of the category and can do more, but it needs operational knowledge that small teams do not have. The more comfortable standard route is the vault of your own cloud, AWS Secrets Manager or Azure Key Vault: nothing extra to run, no new invoice, but a tie to one provider and no order for credentials that live outside that cloud.

AI-native

No meaningful AI-native replacement

A credential vault does not get better from a language model, it only gets more attackable. What AI changes here is the demand side: agents need short-lived, tightly scoped access instead of permanent keys. That is exactly what the vendor's agent features target. It is an argument for an identity register, not for a new class of tool.

Build it yourself

Encrypted files in version control

The serious build-it-yourself route is not your own vault but doing without a service: secrets encrypted as files next to the code, decrypted through your cloud's key service. It costs nothing, is auditable through version history and works for small, technically led teams. It breaks in three places: rotating credentials, revoking a single person's access, and the moment somebody without coding skills needs access.

Our advice

  • Solo: Free plan or encrypted files, either one works.
  • Mid-market: Buy or self-host, but count the machines first, not the people.
  • Enterprise: Buy, but settle data processing terms, transfer basis and the audit report in writing before signing.

Who is behind it

Staying power: Funded

A young company with fresh venture capital and an open-source core. The funding carries for now, but there is no long track record. The MIT-licensed core limits the damage if the vendor changes direction.

  • Funding round: USD 16 million Series A led by Elad Gil, June 2025As of 2026-07-3016 million US dollar Series A in June 2025 led by Elad GilOpen source · As of 2026-07-30
  • Founding, batch, size: founded 2022, Y Combinator Winter 2023, around 50 employees, based in San FranciscoAs of 2026-07-30ycombinator.com/companies/infisicalOpen source · As of 2026-07-30
  • Open-source core: MIT licence with the exception of the ee directory, around 28,500 stars on GitHub, active developmentAs of 2026-07-30MIT licence for the core with the exception of the ee directory, which requires an Infisical licenceOpen source · As of 2026-07-30
  • Subprocessors: 16 named, all located in the United StatesAs of 2026-07-30Full list of 16 subprocessors, all located in the United StatesOpen source · As of 2026-07-30
  • Independent testing: penetration test across the entire attack surface by Cure53, report on requestAs of 2026-07-30infisical.com/docs/internals/securityOpen source · As of 2026-07-30

Cost of leaving: Moderate

The secrets themselves come out through the command line and the API, which is mechanical work. The expensive part is everything around them: the Kubernetes operator, syncs into other systems, dynamically generated database credentials and, if you use the certificate module, a private certificate authority whose certificates are live in production. Store only secrets and you are out in days. Hang certificate issuance on it and you plan in weeks.

Regulation and data

How to read the traffic lightHow to read the traffic lightThe traffic light rates how well a point is evidenced, not how good the tool is. It draws only on the value, note and source held in the profile. Where a statement is missing, it rates the absence, not a guess. A well-reasoned "unclear" on a point that matters little for this tool is yellow. A missing source on a point that decides whether you can use it at all is red.documented, no condition attacheddocumented, tied to a conditiondocumented, but unfavourableopen on a point that decides usability
Data processing agreementScale for this point: Data processing agreementdocumented, no condition attached: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.documented, tied to a condition: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.documented, but unfavourable: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.open on a point that decides usability: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann.documented, but unfavourableon request, no publicly linked documentAs of 2026-07-30Worldwide transfer and processing possible, GDPR data protection terms are offered, no publicly linked data processing documentOpen sourceThe privacy policy states that data protection terms under EU and UK GDPR are offered. The legal page lists terms of service, privacy policy, subprocessors and the service level agreement, but no signable data processing document. Whether one exists can only be settled with sales.As of 2026-07-30
Storage locationScale for this point: Storage locationdocumented, no condition attached: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.documented, but unfavourable: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.open on a point that decides usability: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt.documented, no condition attachedselectable: US region at app.infisical.com or EU region at eu.infisical.comAs of 2026-07-30Separate US and EU regions in dedicated AWS accounts, encryption at rest, 365-day retention for infrastructure logsOpen sourcePer the vendor both regions run in separate AWS accounts with dedicated infrastructure. The documentation does not name the specific AWS regions behind them. The region is chosen when the organisation is created and then appears in every configuration.As of 2026-07-30
SubprocessorsScale for this point: Subprocessorsdocumented, no condition attached: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.documented, but unfavourable: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.open on a point that decides usability: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren.documented, no condition attached16 published by name, all located in the United StatesAs of 2026-07-30Full list of 16 subprocessors, all located in the United StatesOpen sourceNamed entries include AWS and Google Cloud for infrastructure, plus Cloudflare, Datadog, Stripe, Salesforce, Slack and Posthog. The list is fully visible, which is more openness than many competitors offer.As of 2026-07-30
Third-country transferScale for this point: Third-country transferdocumented, no condition attached: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.documented, tied to a condition: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.documented, but unfavourable: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.open on a point that decides usability: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt.open on a point that decides usabilityunclearAs of 2026-07-30Worldwide transfer and processing possible, GDPR data protection terms are offered, no publicly linked data processing documentOpen sourceThe privacy policy says information may be transferred, processed and stored anywhere in the world. It does not name the legal basis for transfers to the United States, neither standard contractual clauses nor an adequacy decision. Choosing the EU region puts the service in Europe, but the vendor's support and analytics tooling stays in the US.As of 2026-07-30
Training on customer dataScale for this point: Training on customer datadocumented, no condition attached: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.documented, tied to a condition: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.documented, but unfavourable: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.open on a point that decides usability: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt.open on a point that decides usabilitynot applicable in substance, but without a commitmentAs of 2026-07-30Worldwide transfer and processing possible, GDPR data protection terms are offered, no publicly linked data processing documentOpen sourceThe tool is not a language model, it handles credentials. An explicit commitment that customer content is never used for model training appears neither in the privacy policy nor on the security page. The vendor advertises AI-generated session summaries, so the question belongs in the contract.As of 2026-07-30
Retention and deletionScale for this point: Retention and deletiondocumented, no condition attached: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.documented, but unfavourable: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.open on a point that decides usability: Keine Aussage zu Aufbewahrung und Löschung.documented, tied to a conditionaudit logs 30 days on the Pro plan, 90 days on the Advanced plan, freely configurable on the Enterprise planAs of 2026-07-30Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced planOpen sourceFor its own infrastructure logs the architecture page names 365 days in CloudWatch. How long deleted secrets remain in backups is not publicly stated.As of 2026-07-30
CertificationsScale for this point: Certificationsdocumented, no condition attached: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.documented, tied to a condition: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.documented, but unfavourable: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.open on a point that decides usability: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden.documented, tied to a conditionSOC 2 Type II, listed on the pricing page only from the Advanced plan upwards; penetration test by Cure53As of 2026-07-30Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced planOpen sourceNo ISO 27001 certificate of the vendor itself is publicly evidenced. Reports and an attestation letter for the penetration test are available on request via security@infisical.com per the documentation. Tying the audit report to a plan tier is unusual and should be clarified before procurement.As of 2026-07-30
EU AI Act, Article 50Scale for this point: EU AI Act, Article 50documented, no condition attached: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.documented, tied to a condition: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.documented, but unfavourable: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.open on a point that decides usability: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen.documented, but unfavourableunclearThe vendor makes no public statement on the transparency duties under Article 50 of the AI Regulation. The tool is not an AI system in the sense of the regulation, but it ships AI-generated session summaries for which no classification is given.no source given · As of 2026-07-30
Audit loggingScale for this point: Audit loggingdocumented, no condition attached: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.documented, but unfavourable: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.open on a point that decides usability: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält.documented, tied to a conditionaudit logging included in the product, retention period depends on the planAs of 2026-07-30Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced planOpen sourceEvery access to a secret is logged. The free plan states no retention, Pro keeps 30 days, Advanced 90 days. Longer evidence obligations require the Enterprise plan or a stream into your own logging system.As of 2026-07-30

What it really costs

Entry price

Free for 5 identities, unlimited projects, 3 environments and 10 secret syncs. The Pro plan costs 20 US dollars per identity per month billed annually, 23 US dollars billed monthly. The core can be self-hosted under the MIT licence.As of 2026-07-30Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced planOpen source

As of 2026-07-30

What gets expensive

The billing unit is the trap. An identity is any human or machine that authenticates. Every service, every pipeline, every agent counts separately and costs the same as a person. Anyone serious about automation ends up with more machines than people, so the bill grows with automation rather than with headcount. Two further jumps: dynamic secrets and the SOC 2 report sit in the Advanced plan at 40 US dollars per identity, and self-hosting with enterprise features costs 25 to 100 US dollars per identity per month according to the pricing page, which is more than the hosted service.

What it displaces

  • Credentials in source code and configuration files
  • Passwords in chat threads and spreadsheets
  • Shared password manager vaults used for machine access

Interfaces

  • Command line and REST API
  • Kubernetes operator
  • Sync into third-party systems via Secret Syncs
  • Dynamically generated database credentials

Matching methods

  • DORA Delivery DiagnosticTime to restore after a failure is one of the measured figures, and scattered credentials are the most common reason a restore stalls at a place nobody documented.
  • Leading AI Agents as Team MembersThe method requires a named role with limited rights per agent, and without a vault that issues credentials individually and logs each release, that limit stays a statement of intent.

Sources

  1. 1.Plans, free limits, price per identity, self-hosting surcharge and the SOC 2 report being tied to the Advanced plan (opens in a new tab)infisical.com/pricing · As of 2026-07-30
  2. 2.Full list of 16 subprocessors, all located in the United States (opens in a new tab)infisical.com/subprocessors · As of 2026-07-30
  3. 3.Separate US and EU regions in dedicated AWS accounts, encryption at rest, 365-day retention for infrastructure logs (opens in a new tab)infisical.com/docs/internals/architecture/cloud · As of 2026-07-30
  4. 4.MIT licence for the core with the exception of the ee directory, which requires an Infisical licence (opens in a new tab)github.com/Infisical/infisical · As of 2026-07-30
  5. 5.16 million US dollar Series A in June 2025 led by Elad Gil (opens in a new tab)infisical.com/blog/series-a · As of 2026-07-30
  6. 6.Worldwide transfer and processing possible, GDPR data protection terms are offered, no publicly linked data processing document (opens in a new tab)infisical.com/privacy · As of 2026-07-30
  7. 7.ycombinator.com/companies/infisical (opens in a new tab)As of 2026-07-30
  8. 8.infisical.com/docs/internals/security (opens in a new tab)As of 2026-07-30

Last reviewed: 2026-07-30 by Dr. Oliver Gausmann, Convios GmbH

Details out of date? Let us know.

← Back to the toolbox