La clave en el espejo público

Un secreto que llega a un repositorio entra en una revisión concreta, y esa revisión es el principio de la historia: desde ella existe en cada copia que alguien haga. El historial lista qué archivos toca cada revisión. Busca el archivo de configuración de producción y quédate con la primera revisión en que aparece, no con la que lo menciona después.

Estar en un repositorio privado no es lo mismo que estar a la vista: mientras el repositorio fue privado, solo lo veían las personas con acceso. La exposición hacia fuera empieza cuando cambia la visibilidad, no cuando se sube el archivo. El registro de visibilidad dice quién lo cambió y cuándo.

Una revisión posterior eliminó el archivo de configuración. Alguien del equipo lo cuenta como arreglado: «ya no está en el repositorio». Piensa en lo que ve quien clona el repositorio completo y en las copias que se hicieron antes de esa revisión, y en qué se puede deshacer desde Tomillar y qué no.

El informe tiene que decir cuánto tiempo estuvieron las claves al alcance de cualquiera, y la cifra sale de dos fechas del registro de visibilidad, no del historial de revisiones. Cuenta los días completos entre el momento en que el repositorio se hizo público y el momento en que volvió a ser privado, sin redondear hacia arriba.

Los archivos de configuración nombran el secreto con una variable; el gestor de claves lo nombra con un identificador. Para rotar hay que hablar el idioma del gestor, porque es el identificador lo que el resto de sistemas pide, no el nombre de la variable. La lista de secretos relaciona cada variable con su identificador.