Dónde entra cada control

Un pipeline no es un botón de «desplegar»: es una secuencia de etapas por las que el mismo cambio va pasando. En Cauce Pagos el camino es siempre el mismo — alguien escribe código y abre una propuesta de fusión, la cadena compila y prueba, revisa el propio código, mira las dependencias que arrastra, construye la imagen de contenedor, revisa la infraestructura escrita en texto, y solo entonces despliega. Cada etapa es una oportunidad de mirar antes de que el cambio llegue más lejos, y cada etapa cuesta menos que la siguiente.

Entender la cadena como una secuencia de puntos de revisión, y no como un empujón final, es lo que permite decidir dónde colocar cada control.

«Shift-left» significa mover la revisión hacia el comienzo de la cadena, no hacia el final. La razón es de costo: un fallo que se encuentra cuando el código aún está en la propuesta de fusión se arregla cambiando una línea; el mismo fallo descubierto en producción arrastra un incidente, un despliegue de urgencia y, en Cauce Pagos, dinero de clientes. La propuesta de fusión es el punto de revisión barato: el cambio todavía no se fusionó, nadie depende de él, y rechazarlo no rompe nada.

Meter la seguridad temprano no es una moda: es poner el control donde arreglar cuesta poco, en vez de donde cuesta un desastre.

Los controles no van todos al final ni todos juntos: cada uno vive en la etapa donde tiene sentido. El escaneo de secretos y el análisis del código miran el código fuente, así que van pronto, sobre el repositorio. La revisión de dependencias necesita la lista de librerías resuelta. El escaneo de la imagen solo puede correr cuando la imagen ya está construida. Y la revisión de la infraestructura como código mira los archivos de infraestructura antes de aplicarlos. Poner un control en la etapa equivocada lo vuelve inútil: escanear una imagen que aún no existe no encuentra nada.

Colocar cada control donde su insumo ya está disponible es la mitad del diseño de una cadena segura.

Aquí aparece la decisión que define el oficio. Un control que encuentra algo puede hacer dos cosas: parar la cadena (el cambio no avanza hasta que se arregle) o avisar (lo anota y deja pasar). Parar todo siempre convierte al equipo de seguridad en el que frena a la empresa, y entonces lo apagan; avisar de todo hace que nadie mire los avisos. El criterio es el riesgo real: un secreto válido en el repositorio o un fallo crítico explotable se paran; un hallazgo de severidad baja, dudoso o sin impacto real se registra para revisarlo sin bloquear el trabajo de nadie.

Decidir bien qué para y qué solo avisa es lo que separa una cadena que protege de una que estorba.

Abre el laboratorio de la cadena de Cauce y lee el resumen de la última ejecución del pipeline. Recorre las etapas en el orden en que corren y fíjate en la línea de la sala que cierra el resumen.