Rotar y comprobar que cerró

Rotar una clave de firma tiene dos mitades: dejar de firmar con la vieja y dejar de aceptarla al validar. El plan dejaba una transición corta en uno de los servicios. Compara lo que se aprobó con lo que el registro de cambios dice que cada servicio aceptó, y a qué hora.

Mientras un servicio acepta la clave vieja, quien la tenga puede seguir usándola. Las validaciones del API en ese lapso dicen con qué clave venía firmado cada token, desde dónde y si el portal lo había emitido. Hay tokens con la clave vieja que son legítimos, porque se emitieron antes de la rotación; cuenta solo los que no lo son.

Alguien del equipo pregunta si era necesaria la segunda mitad: «ya firmamos con la nueva, lo viejo caducará solo». Responde con lo que muestran las validaciones del API.

Rotar la clave de exportaciones no re-cifra lo ya guardado: eso es un paso aparte, y lo que falta por hacer es el riesgo que queda. El estado a media tarde dice cuántos archivos están ya bajo la clave nueva y cuántos siguen bajo la vieja.

Desplegar un certificado nuevo no invalida el anterior: mientras no se revoque, la clave privada que estuvo expuesta sigue sirviendo para presentarse como el API a quien confíe en ella. El estado de los certificados muestra el de cada serie en la lista de revocados.