La bóveda de credenciales y la rotación

Una bóveda hace tres cosas. Guarda los secretos cifrados, para que no estén en una hoja de cálculo ni en la cabeza de alguien. Entrega un secreto solo a quien lo pide con una razón (un ticket) y deja constancia de quién y cuándo. Y lo cambia: rota el secreto después de usarlo y también cada cierto número de días, aunque nadie lo haya usado. La rotación importa porque un secreto que alguien vio, copió o tecleó en un equipo ajeno sigue valiendo hasta que se cambia. Si se rota al terminar la tarea, lo que alguien conserve deja de servir.

Lee boveda_secretos. Cada fila es un secreto: de qué cuenta es, de qué sistema, cada cuántos días debe rotarse (politica_dias), cuándo se rotó por última vez y si la rotación es automática o manual. La revisión es del 2026-10-05. Un secreto está vencido cuando los días transcurridos desde su última rotación superan su política. No hay una columna que lo diga: hay que contar los días con las fechas.

Una de las filas lleva mucho más retraso que las demás. Mide cada una contra su propia política, no contra una cifra única.

Toma el secreto que acabas de identificar. Cuenta los días calendario entre su última rotación y la fecha de la revisión, y réstale los días de su política. El resultado es cuánto se pasó.

Ahora lee boveda_eventos, el registro de lo que la bóveda hizo desde el 2026-09-20. Un retiro sin una rotación posterior es un secreto que alguien vio y que sigue valiendo. Cruza los retiros con las rotaciones que vinieron después y busca el secreto que se retiró y no se cambió.

El secreto sin rotar es de una cuenta que nadie ha reclamado y que además se rota a mano. Quien lo retiró tenía un ticket y no hay indicio de mal uso: el problema no es una persona, es que el proceso dejó una puerta abierta. La respuesta de la organización tiene que cerrar la puerta y arreglar la causa, no buscar un culpable.