Claves y secretos

Una clave sirve a un entorno y a una función. Cuando la misma clave se usa en producción, en pruebas y en desarrollo, quien tiene acceso a los entornos de pruebas tiene, en la práctica, la de producción, y las pruebas dejan de ser un lugar seguro para equivocarse. El registro de claves dice en qué entornos vive cada una.

Una clave por entorno y por función es el punto de partida; lo demás son excepciones que hay que justificar.

Rotar una clave es cambiarla por una nueva siguiendo un ciclo; el ciclo lo fija la política de la casa y el registro lo anota. Para saber si una clave está fuera de ciclo hace falta la fecha de la última rotación y la fecha de hoy, que en este caso es el 21 de octubre de 2026. La cuenta se hace en días naturales.

La clave de cifrado de los respaldos es la que más preocupa, porque lo que cifró no se puede re-cifrar a la ligera.

Los respaldos nocturnos están cifrados, pero la clave que los cifra está guardada en la misma carpeta que ellos. Quien llegue a la carpeta tiene el dato y la llave a la vez, y el cifrado deja de proteger lo que viene a proteger. El arreglo es sacar la clave a un gestor de secretos con acceso por identidad, y rotarla: los respaldos nuevos usan la nueva, y los viejos se vuelven a cifrar o se conservan solo mientras haga falta.

Mover la clave sin rotarla deja intacto el riesgo de los respaldos que ya estuvieron junto a ella.

En un repositorio con control de versiones, borrar un archivo de la versión actual no lo borra del historial: cualquiera que pueda leer el repositorio puede recuperar versiones anteriores. Una clave que estuvo en el repositorio se considera expuesta a todo el que lo haya leído, aunque hoy ya no esté. El informe de la exploración dice, por cada hallazgo, si el secreto sigue en la versión actual y si sigue en el historial.

La respuesta a un secreto en el historial no es reescribir y olvidar: es rotarlo y, aparte, decidir si se limpia el historial.

El informe de la exploración lista tres hallazgos. Dos siguen en la versión actual y uno ya no, aunque el historial lo conserva. El nombre del archivo es lo que se anota para que quien limpie o rote sepa por dónde empezar; la ruta completa no se pide, solo el archivo.

Distinguir los dos estados es lo que separa un hallazgo urgente de uno que ya está a medias.