Rotación y verificación de contraseñas, los resultados

Rotar es cambiar el secreto: la plataforma genera un valor nuevo, lo cambia en el sistema destino a través del conector y lo guarda en la bóveda. Verificar es comprobar, sin cambiar nada, que el valor que guarda la bóveda todavía abre ese sistema. La rotación es una acción; la verificación es la prueba de que la acción dejó las cosas en orden o de que nadie cambió la clave por otro lado.

Sin verificación, la plataforma puede estar guardando una contraseña que ya no sirve, y el primer síntoma es que un administrador no consigue entrar en plena emergencia. Con verificación, el desajuste se descubre un martes cualquiera.

Lee cuentas_gestionadas. Cada fila trae la última verificación y su resultado: «coincide» significa que el valor guardado abrió el sistema, «no coincide» que no lo abrió, y «no verificable» que no hay conector para probarlo. Una cuenta cuyo resultado es «no coincide» tiene un secreto en la bóveda que ya no vale: nadie puede usarla por la vía normal.

Un intento de rotación tiene dos pasos: guardar el valor nuevo en la bóveda y cambiarlo en el destino. El resultado honesto es «éxito» solo si el destino confirmó. Hay plataformas, o configuraciones, que marcan el intento como exitoso apenas la bóveda guarda el valor, sin esperar al destino, y entonces el resultado en el registro no dice lo que realmente pasó.

Lee rotaciones y compara las columnas paso_destino y resultado.

La política de Aricapa es de 30 días para las cuentas de administración y de 90 para las de sistema; la columna politica_dias ya la trae por cuenta. Una cuenta está atrasada cuando los días transcurridos desde su última rotación exitosa superan su política. Cuenta los días calendario hasta la fecha de la revisión, 2026-10-06, y réstale la política de esa cuenta. No compares todas contra una misma cifra.

Mira el registro de fallos de la cuenta que acabas de medir: un intento de septiembre falló porque el conector no tenía permiso en el destino, la bóveda conservó el valor anterior, y nadie volvió a intentarlo. Eso explica en buena parte el retraso de la tarea anterior. Una plataforma bien configurada convierte el fallo en trabajo pendiente.