Qué dejó rastro de uso

Cada token que el API acepta debería tener detrás un registro de que el portal lo emitió, porque el portal es quien firma. Si hay tokens aceptados sin ese registro, alguien firmó fuera del portal con una clave que no debía tener. Hay una tabla que compara los aceptados con los emitidos por origen, y entre las filas que no cuadran hay una que tiene explicación documentada: descártala.

El informe tiene que decir cuántos tokens firmados fuera del portal llegaron a aceptarse. La cifra no está en una celda: sale de restar, en las filas de ese origen, los tokens con registro de emisión a los aceptados, y sumar. Los cinco tokens del mantenimiento no entran en la cuenta, porque tienen explicación y vienen de un origen propio.

Los archivos de exportación viajan cifrados, y el registro de descargas dice desde qué dirección y con qué cuenta se bajó cada grupo. Una cuenta de distribuidor se usa de forma habitual desde una sola dirección. Cuenta cuántas descargas se hicieron con esa cuenta desde la dirección que no es la habitual, sumando todas las filas de ese origen.

El receptor de avisos de Tomillar solo acepta los que traen una firma calculada con el secreto compartido con el distribuidor. En la tabla de avisos hay un origen nuevo cuyos avisos llegaron con la firma equivocada. Piensa en qué demuestra eso, en qué no demuestra y en qué se hace con el secreto de todos modos.

Que una clave no deje rastro de abuso en tus registros no quiere decir que no se haya abusado de ella: quiere decir que el abuso, si existe, ocurre en un sitio donde no hay registro tuyo. Revisa el inventario y la columna que dice dónde se vería el uso de cada clave.