Dónde vive un secreto (y dónde no)

Una clave de la pasarela de pagos no vive en el repositorio: vive en un gestor de secretos o en una variable de entorno que se inyecta cuando el servicio arranca. El código no lleva el valor, solo el nombre de la variable de donde lo toma. Así la misma versión del código corre en pruebas y en producción con claves distintas, y el repositorio nunca ve ningún secreto. El valor existe solo en memoria, en el momento en que hace falta.

Que el código nombre el secreto en vez de contenerlo es lo que separa una credencial bajo control de una credencial suelta.

Hay archivos que por naturaleza llevan secretos locales: el archivo de variables de entorno de cada quien, una configuración de pruebas con una clave propia. Esos se declaran en la lista de archivos ignorados del repositorio para que no se suban por accidente, y en su lugar se versiona una plantilla de ejemplo con los nombres de las variables y los valores vacíos. Quien clona el proyecto copia la plantilla, la rellena con sus valores, y su archivo real nunca entra al repositorio.

Ignorar el archivo que lleva el secreto y versionar solo la plantilla vacía es la defensa que evita el descuido antes de que ocurra.

El escaneo previo al commit corre en el portátil de quien escribe, justo antes de confirmar un cambio. Si detecta un secreto con formato de clave válida en lo que se va a subir, detiene el commit: el secreto no llega a tener historial. Es la defensa más barata de todas, porque atrapa el fallo donde arreglarlo cuesta borrar una línea y volver a intentar. Una vez que el secreto entra al historial, como viste en la sala anterior, ya escapó y toca rotarlo.

Parar el secreto en el commit, y no después en la cadena, es aplicar el shift-left al fallo más repetido del oficio.

Abre el laboratorio del repositorio ya saneado de Cauce. La config referencia la variable de entorno por su nombre, el archivo de ignorados deja fuera los secretos locales, y el informe del gancho previo al commit registra un intento frenado. Lee ese informe hasta el final.