Bóveda de secretos y separación de credenciales

El antipatrón de partida es el secreto en el archivo de configuración: viaja con cada copia del código, nadie sabe quién lo leyó y cambiarlo exige tocar todos los sitios donde se copió. La bóveda lo corta con tres cosas: guarda el secreto en un solo sitio, decide quién lo lee según su identidad y registra cada lectura. Mejor aún si emite credenciales dinámicas, que nacen para un uso y caducan en minutos u horas.

Lo que la bóveda no resuelve: la aplicación que lee el secreto lo tiene en memoria, así que si se compromete la aplicación, se compromete lo que esa aplicación puede leer. Tampoco resuelve un diseño en el que una identidad puede leerlo todo. La bóveda reduce el radio de daño solo si cada identidad lee lo suyo.

La norma N-1 de Cuchavira dice que un secreto no se comparte entre aplicaciones. Cuando dos aplicaciones usan la misma credencial, comprometer la más débil da acceso con la identidad de las dos, el registro ya no distingue quién hizo qué y rotar el secreto obliga a coordinar dos equipos, así que se rota menos.

Abre el laboratorio. Lee norma-de-secretos.txt y después bov-01/secretos.txt, columna «usado por».

Las identidades de despliegue son las más tentadas a pedir permisos amplios: «el pipeline necesita configurar todas las aplicaciones». Con lectura de todas las rutas, quien controle el pipeline controla todos los secretos de la empresa, y la bóveda pasa de separar a concentrar. La norma N-3 dice que una identidad no humana lee solo la ruta de su aplicación.

Lee bov-01/politicas.txt.

Los secretos que el sistema de destino no permite volver dinámicos siguen siendo estáticos, y para ellos la norma N-2 fija una rotación máxima de 90 días. El corte de la evidencia es el 2027-08-20.

Compara la última rotación de cada secreto estático con esa fecha. Los dinámicos no cuentan: se emiten en cada pedido.

El secreto compartido no se arregla solo rotándolo: al día siguiente sigue siendo de dos. El reemplazo en el catálogo es separar las credenciales, una por aplicación, con permisos que digan qué puede hacer cada una en el sistema de destino, y retirar la compartida cuando las dos aplicaciones ya usen la suya.