Dueño, rotación y caducidad

Rotar una credencial es reemplazarla por una nueva y retirar la anterior. No se hace porque la clave envejezca, sino para acotar el daño de una fuga: si un secreto se copió en un correo, un registro o un repositorio sin que nadie lo notara, la rotación periódica limita cuánto tiempo le sirve a quien lo tenga. Cuanto más larga la vida de una credencial, más tiempo tiene una fuga para ser útil.

El plazo depende del tipo. Las políticas suelen dar más margen a lo que es difícil de cambiar y menos a lo que se puede automatizar, y la de Hidrosur está en la tabla politica.

Para medir un retraso se cuentan los días calendario entre la última rotación y la fecha de la revisión, y se restan los que la política permite. Un resultado positivo es el retraso; uno negativo, que está a tiempo. Hidrosur exige rotar cada cuenta de servicio cada 90 días. Toma la cuenta de respaldos, con la fecha que trae la tabla credenciales, y mídela hasta el 2026-10-05.

Hay una diferencia entre una credencial atrasada y una que nunca se rotó: la segunda quiere decir que nadie, desde que se creó, la ha vuelto a mirar. En la columna ultima_rotacion se escribe «nunca» cuando no hay ninguna rotación registrada.

Los tokens son los que viven menos: en Hidrosur se renuevan cada 30 días. Eso hace fácil pasarse por poco. Compara los dos tokens del inventario con su plazo y mira cuál lo supera.

Un certificado no se rota por política sino que caduca: ese día deja de ser válido y lo que dependía de él se cae. Por eso la regla de Hidrosur es renovar con 30 días de antelación a la caducidad. Si el tiempo que falta es menor que esa antelación, ya se está dentro de la ventana de renovación. Consulta las fechas de los certificados y cuenta los días desde el 2026-10-05.