Credenciales de larga vida, inventario

Una credencial de larga vida tiene tres riesgos que crecen con el tiempo: puede haberse copiado sin que nadie lo sepa, nadie recuerda para qué servía y su dueño ya no está. Rotar o retirar a ciegas puede romper una integración; dejarla sin mirar acumula riesgo. El inventario mínimo responde, para cada credencial: de quién es, cuándo se creó o rotó, cuándo se usó por última vez y cuándo vence.

Las nubes ya producen esos datos: un informe de credenciales en AWS, la lista de secretos y su vencimiento por aplicación en Azure, las claves de cada cuenta de servicio en Google Cloud.

Una política habitual es rotar las claves de acceso cada 90 días. El informe de credenciales trae la fecha de la última rotación de cada clave; una clave activa con más de noventa días desde esa fecha incumple la política. La fecha de referencia del informe es el 21 de octubre de 2026.

Abre aws/informe-de-credenciales.csv y cuenta las claves activas con más de 90 días desde su última rotación. Las inactivas no cuentan.

Una clave activa que nunca se ha usado es una puerta abierta sin dueño aparente: o la creó alguien que ya no la necesita, o la guardó para más tarde, o la usa algo fuera de los registros. El primer paso no es borrarla, sino desactivarla y esperar un tiempo a ver si alguien la reclama: desactivar se revierte, borrar no.

En el informe, la última columna de uso dice N/A cuando la clave nunca se ha usado. Algunas cuentas ni siquiera tienen clave activa.

Las cuentas de servicio de Google Cloud pueden tener varias claves de usuario a la vez, y es normal durante una rotación: se crea la nueva, se cambia la aplicación y se desactiva la vieja. Si la vieja sigue activa semanas después, la rotación quedó a medias y hay dos secretos válidos en circulación.

Revisa gcp/claves-de-cuentas-de-servicio.txt. Fíjate también en la fecha de vencimiento de cada clave: caducan a los diez años de su creación.

Los secretos de cliente de las aplicaciones de Azure tienen una fecha de vencimiento. Cuando vencen, la aplicación deja de autenticarse y se cae a las tres de la mañana. La lista de lo que vence en los próximos 30 días es lo que se renueva primero. Un secreto ya vencido no cuenta: necesita otra conversación, la de si la aplicación todavía existe.

Con la fecha de referencia del 21 de octubre de 2026, abre azure/secretos-de-aplicaciones.txt y cuenta los secretos que vencen entre esa fecha y el 20 de noviembre.