Cuándo un hallazgo rompe la construcción

Cuando se activa un control en un repositorio con años de código, el primer informe trae decenas de hallazgos. Si el umbral bloquea todo lo que encuentra, nadie podrá fusionar nada ese día y alguien lo apagará esa misma tarde. Por eso se fija una base de referencia: la lista de lo que ya existía al activar la política. Lo heredado no bloquea mientras no empeore; cada hallazgo de la base tiene su ticket y su plazo en la deuda de seguridad. Lo que bloquea es lo nuevo: lo que esta propuesta de cambio introduce.

Es la misma lógica de un jefe de obra que no puede tumbar el edificio entero para corregirlo, pero sí puede exigir que cada piso nuevo salga bien.

Una regla no es solo «severidad y control»: lleva un ámbito. Una política madura distingue la rama de producción, las ramas de entrega (las que preparan una versión) y las ramas de funcionalidad (el trabajo de cada día). La razón es de costo: bloquear en una rama de funcionalidad frena a una persona; bloquear en la rama de producción frena a la empresa, pero ahí es donde el fallo ya no puede entrar. Algunas reglas bloquean en todas las ramas porque su daño no admite espera, y otras solo donde el fallo se volvería producción.

En el registro de la semana hay dos construcciones con el mismo hallazgo de imagen y resultados distintos. La diferencia está en la política, no en el escáner.

Las ramas de entrega merecen un trato propio: no son producción todavía, pero lo que se fusione en ellas va a salir en la próxima versión sin otra revisión. Por eso, muchas políticas hacen que las reglas de dependencias bloqueen ahí aunque no bloqueen en las ramas de funcionalidad. El hallazgo que se detiene en la rama de entrega cuesta un día; el que llega a producción cuesta una versión retirada.

Mira qué construcciones del registro salieron en rojo y en qué rama corrían. Entre todas, solo una es de una rama de entrega.

No todo hallazgo crítico se puede bloquear con sentido. Si la librería afectada no tiene todavía una versión corregida, bloquear la construcción no la arregla: deja a todo el equipo parado esperando algo que no depende de él. Por eso la condición de la regla de dependencias dice «con versión corregida publicada». Sin ese matiz, el gate se convierte en un muro que la gente aprende a rodear.

Eso no significa mirar hacia otro lado. Lo que corresponde es avisar, dejar el hallazgo en el tablero y, si hay que convivir con él, abrir una excepción con responsable, control compensatorio y fecha. En la próxima sala se ve cómo se escribe.

Hay una clase de hallazgo que se bloquea en toda rama y sin matices de arreglo disponible: la credencial vigente en el repositorio. La razón es que el daño no depende de que la rama llegue a producción: el secreto ya está escrito en el historial y copiado en cada clon. Desde el momento en que se detecta, lo correcto es rotarlo; el bloqueo solo impide que se siga propagando. En los laboratorios de esta ruta las credenciales son marcadores evidentes, como CLAVE-FICTICIA-0001, y nunca valores reales.

Revisa el registro de la semana: una de las construcciones se detuvo por este motivo.