OpenTofu protiv Terraforma u 2026.: Grananje je sazrelo

Prije tri godine HashiCorp je promijenio licencu za Terraform s MPL 2.0 na BSL 1.1, a zajednica otvorenog koda napravila je fork pod nazivom OpenTofu. Ono što je počelo kao protestni potez postalo je jedno od najznačajnijih grananja u povijesti alata za infrastrukturu. OpenTofu danas djeluje pod okriljem Linux Foundationa, premašio je deset milijuna preuzimanja na GitHubu i isporučuje značajke koje Terraform još uvijek nema.

Pitanje u 2026. više nije je li fork vjerodostojan. Pitanje je koji alat odgovara vašem timu, vašim zahtjevima usklađenosti i vašoj strategiji prema dobavljačima.

Kronologija u tri datuma

Cijela se vremenska crta grananja svodi na tri trenutka:

Kolovoz 2023. — HashiCorp mijenja licencu za Terraform s MPL 2.0 na BSL 1.1, izvornodostupnu licencu koja ograničava komercijalnu upotrebu od strane konkurenata. Odgovor zajednice bio je trenutačan. Nakon trideset i tri tisuće GitHub zvjezdica i više od stotinu obećanja tvrtki, objavljen je OpenTofu manifest.

Rujan 2023. — Linux Foundation prihvaća preimenovani projekt OpenTofu pod svojim upravljanjem. Ono što je moglo postati fragmentirani fork s konkurentskim upravljanjem postalo je jedinstven, vendor-neutralan projekt koji stoji iza zaklade s provjerenom poviješću vođenja infrastrukture otvorenog koda.

Veljača 2025. — IBM zaključuje preuzimanje HashiCorpa vrijedno 6,4 milijarde dolara. Terraform, Vault i Consul sada su IBM-ovi proizvodi. Za timove kojima je BSL licenca već bila problematična, IBM-ovo preuzimanje dodalo je drugi sloj strateške neizvjesnosti.

Licenca i upravljanje: Ustavna podjela

Praktična razlika između MPL 2.0 i BSL 1.1 najvažnija je za dobavljače i pružatelje upravljanih usluga. Za krajnjeg korisnika koji piše HCL i pokreće tofu apply ili terraform apply, licenca ne utječe izravno na svakodnevni rad. Pravi je utjecaj nizvodno.

OpenTofu (MPL 2.0, Linux Foundation) može se forketirati, redistribuirati, ugrađivati u komercijalne proizvode i mijenjati bez ograničenja. Zato svaka veća IaC platforma — Spacelift, env0, Scalr, Harness, GitLab — danas izvorno podržava OpenTofu. Neke su ga postavile kao svoj zadani pogon.

Terraform (BSL 1.1, IBM/HashiCorp) ograničava tko može nuditi Terraform kao uslugu. Licenca nije problem za većinu internih timova, ali je važna kada dobavljač želi izgraditi konkurentsku upravljanu Terraform ponudu. Također je važna ako vaša organizacija ima strogu politiku protiv licenci koje nisu odobrene od strane OSI-ja.

Razlika u upravljanju postala je vidljiva u praksi. OpenTofu isporučuje nove značajke kroz RFC proces uz recenziju zajednice. Značajke Terraforma vođene su IBM-ovim planom razvoja. Besplatna razina HCP Terraforma ukinuta je u ožujku 2026., zamjena je ograničena na petsto upravljanih resursa, a cijene su porasle otprilike osamnaest posto godišnje, prema višestrukim izvorima.

Usporedba značajki: Gdje svaka strana prednjači

OpenTofu 1.12.2 (trenutačna stabilna verzija) i Terraform 1.15 (travanj 2026.) dijele isti HCL jezik i isti providerski protokol, ali su im skupovi značajki bitno različiti.

Značajke dostupne samo u OpenTofuu

Enkripcija stanja i plana (v1.7) najčešće je navođena prednost OpenTofua. State datoteke rutinski sadrže lozinke baza podataka, API ključeve i privatne ključeve u čistom tekstu. Enkripcija na razini backenda — S3 SSE, GCS enkripcija — štiti podatke u mirovanju na udaljenom backendu, ali ne i tijekom prijenosa ili u lokalnim kopijama. OpenTofu šifrira prije nego što datoteka uopće napusti stroj, koristeći AES-GCM s priključnim pružateljima ključeva.

terraform {
  encryption {
    key_provider "gcp_kms" "prod" {
      kms_encryption_key = "projects/acme/locations/global/keyRings/tofu/cryptoKeys/state"
      key_length         = 32
    }
    method "aes_gcm" "prod" {
      keys = key_provider.gcp_kms.prod
    }
    state { method = method.aes_gcm.prod }
    plan  { method = method.aes_gcm.prod }
  }
}

Terraform nema ekvivalent. Morate se osloniti na enkripciju na razini backenda i prihvatiti taj nedostatak.

Ephemeral vrijednosti (v1.11) drže tajne u memoriji tijekom izvođenja i nikada ih ne zapisuju u state datoteku. Za timove pod režimima usklađenosti poput SOC 2 ili PCI DSS, ova značajka sama po sebi može opravdati migraciju.

Provider for_each (v1.9) eliminira jedan od najponavljajućih obrazaca u Terraformu: pisanje istog provider bloka N puta za postavke s više regija. U Terraformu višeregijska AWS konfiguracija zahtijeva ili duplicirane blokove ili modulski omotač s aliasima. OpenTofu to sažima u jednu petlju:

variable "regions" {
  type = list(string)
  default = ["us-east-1", "eu-west-1", "ap-southeast-1"]
}

provider "aws" {
  region = each.value
  for_each = toset(var.regions)
}

resource "aws_vpc" "this" {
  provider = aws[each.key]
  cidr_block = "10.0.0.0/16"
  for_each = toset(var.regions)
  tags = { Region = each.key }
}

Podrška za OCI registre (v1.10) omogućuje timovima pohranu providera i modula u spremnicima registara, što je ključna značajka za zračno izolirana okruženja i regulirane industrije.

Izvorno S3 zaključavanje (v1.10) uklanja ovisnost o DynamoDB-u za zaključavanje stanja na AWS-u. Jedna tablica manje za upravljanje, jedna IAM politika manje koju treba ispravno postaviti.

Dinamički prevent_destroy (v1.12) čini životnu zaštitu konfigurabilnom po okruženju putem varijabli, umjesto da zahtijeva ručno uključivanje prije svakog destruktivnog applyja.

Značajke dostupne samo u Terraformu

Terraformov odgovor bio je usmjeren na upravljanu platformu. Stacks pružaju orkestraciju više konfiguracija na višoj razini. Sentinel je vlastiti pogon pravila kao koda. HCP Terraform timovima nudi hostirani backend s RBAC-om, izvođenjima i integriranim upravljanjem stanjem.

Terraform 1.15 (travanj 2026.) uveo je dinamičke izvore modula s const = true na varijablama, čime je zatvorio jaz koji je OpenTofu popunio u v1.9 — gotovo dvije godine ranije. Također je donio convert(), zastarjelost varijabli, ograničenja tipova na izlazima i izvornu podršku za Windows ARM64. Riječ je o korisnim poboljšanjima kvalitete života, ali ne mijenjaju stratešku sliku.

Migracija: Stvarnost zamjene

Najčešće pitanje čitatelja i dalje je: koliko je migracija teška? U praksi je za većinu timova riječ o običnoj zamjeni binarne datoteke.

# 1. Instalirajte OpenTofu uz Terraform
curl --proto '=https' --tlsv1.2 -fsSL https://get.opentofu.org/install-opentofu.sh | sh

# 2. Napravite sigurnosnu kopiju postojećeg stanja
cp terraform.tfstate terraform.tfstate.backup

# 3. Inicijalizirajte s OpenTofuom
tofu init

# 4. Provjerite — ovo bi trebalo vratiti čist izlaz (bez promjena)
tofu plan

# 5. Prvi apply prepisuje oznaku verzije Terraforma
tofu apply

Nakon migracije ažurirajte skripte CI pipelinea da koriste tofu umjesto terraform, ili dodajte alias terraform=tofu u okruženje izvođača.

Ono što se ne migrira lako: HCP Terraform radni tokovi, Sentinel politike i Terraform Stacks. Timovi koji su duboko investirani u HashiCorp upravljanu platformu suočavaju se sa stvarnim troškovima prelaska koji mogu nadmašiti brige oko licence.

Tri praktična scenarija

Scenarij A: Tim vođen usklađenošću. Vaša organizacija treba šifrirati state datoteke u mirovanju i u prijenosu te potpuno držati tajne izvan stanja. OpenTofu uvjerljivo pobjeđuje. Izvorna enkripcija i ephemeral vrijednosti ne postoje ni u jednoj verziji Terraforma niti imaju najavljeni ekvivalent na planu razvoja. Trošak migracije je nizak; vrijednost usklađenosti je visoka.

Scenarij B: Tim za višeregijsku platformu. Upravljate infrastrukturom u pet AWS regija, svaka sa svojom konfiguracijom providera. OpenTofuov provider for_each eliminira ono što bi inače bile stotine redaka dupliciranih provider blokova u Terraformu. Samo smanjenje boilerplatea isplati se za sat vremena prelaska.

Scenarij C: Intenzivan korisnik HCP Terraforma. Vaš se tim oslanja na Sentinel politike, HCP izvođenja i upravljani backend stanja. Troškovi migracije — prepisivanje politika, rekonfiguracija CI-ja, prekvalifikacija tima — stvarni su i mjerljivi. Terraform ostaje pragmatičan izbor osim ako vas politika licenciranja ne prisili na promjenu. Pratite rast ekosustava upravljanih platformi za OpenTofu, ali ne žurite.

Trendovi usvajanja i stvarnost na terenu

OpenTofuovi brojevi usvajanja smjerno su jasni čak i uz uobičajene ograde oko metodologije anketa. Deset milijuna preuzimanja GitHub izdanja, tri stotine posto godišnjeg rasta i CNCF sandbox prihvaćanje u travnju 2025. signaliziraju stvarni zamah. Trideset i osam posto korisnika Terraforma izvještava da aktivno procjenjuju ili migriraju s Terraforma.

Ipak, Terraform i dalje drži otprilike 77 puta veći obujam pretraživanja na Google Trendsu. Jaz u svijesti je velik. Procesi zapošljavanja, certifikacijski programi i ugovori o podršci za poduzeća i dalje favoriziraju etabliranog igrača. Migracija na OpenTofu operativno je niskog rizika, ali je kulturno vidljiva — signalizira stratešku odluku koju dionici iznad inženjerskog tima mogu dovesti u pitanje.

Ekosustav dobavljača odlučno se promijenio. Spacelift, env0 i Scalr sada prema zadanim postavkama koriste OpenTofu. GitLab ga izvorno podržava. Ako vaša CI platforma već radi na nekoj od njih, trenje migracije gotovo da i ne postoji.

Zaključak: Zreo izbor

U 2026. nijedna opcija nije rizična. OpenTofu je proizvodno spreman, dobro vođen i podržan rastućim ekosustavom. Terraform pod IBM-om nastavlja napredovati, sa Stackovima i čvršćom HCP integracijom koji su važni za timove koji su već u tom ekosustavu.

Okvir za odlučivanje svodi se na tri pitanja:

1. Zahtijeva li vaša usklađenost ili politika licenciranja OSI-odobreni otvoreni kod? Ako da, odaberite OpenTofu.
2. Jeste li duboko investirani u HCP Terraform radne tokove, Sentinel ili Stacks? Ako da, trošak migracije možda ne opravdava prelazak.
3. Podržava li vaša CI platforma već izvorno OpenTofu? Ako da, trenje migracije gotovo je nikakvo, a prednosti značajki su besplatne.

Grananje je sazrelo. Donesite odluku na temelju sadržaja, a ne na temelju toga tko ima bolji marketing.