Gestión de secretos en aplicaciones y APIs

Un repositorio no olvida: borrar una línea de un archivo no la quita del historial, y el historial se clona, se copia a máquinas de desarrolladores y a servicios de integración. Por eso la política de Guacamaya dice que un secreto que estuvo en un repositorio se considera expuesto, aunque hoy no esté en ningún archivo.

El orden importa. Lo primero es que el valor deje de servir: revocar y rotar. Limpiar el historial, avisar a los equipos y activar un escaneo previo a la fusión son tareas útiles, pero ninguna sustituye a la primera: mientras el valor viejo siga vigente, cualquiera que lo copió puede usarlo.

Una política de rotación tiene plazos distintos según la clase del secreto, y se comprueba con aritmética de fechas. En politica/secretos.txt están los plazos por clase y en inventario/secretos.txt la fecha de la última rotación de cada secreto. El inventario se cortó el 3 de mayo de 2027: cuenta los días entre la última rotación y esa fecha, y compáralos con el plazo de su clase.

El inventario de secretos incluye una columna con el marcador del valor vigente. El extracto de repositorio/historial.txt muestra los cambios al archivo de configuración de un servicio. Cruzar los dos permite saber qué secreto sigue en uso aunque ya no esté en el archivo: basta que el valor de una línea eliminada sea el mismo que el inventario da por vigente.

Un secreto estático es una promesa de custodia: alguien lo guarda, lo rota y responde si se pierde. Cuando la plataforma permite asignar una identidad al propio servicio, con un permiso acotado y credenciales de corta vida que se renuevan solas, no hay clave que guardar, que rotar ni que filtrar. Es el patrón de identidad de carga de trabajo, y la política de Guacamaya lo exige donde sea posible.

Lee despliegue/reportes.txt: dice qué ofrece la plataforma al servicio de reportes y cómo accede hoy al bucket.

Un secreto guardado en un gestor sigue siendo tan seguro como la lista de quienes pueden leerlo. El alcance se mide en personas, no en grupos, y se suman los grupos que no comparten miembros. accesos/lectores.txt lista, por secreto, los grupos con permiso de lectura y cuántas personas tiene cada uno.