El repositorio como fuente de verdad

En un flujo GitOps el controlador del clúster tira del repositorio: compara lo que hay en la rama con lo que corre y corrige la diferencia. Por eso la rama que sigue un entorno es, en la práctica, el botón de despliegue de ese entorno. Quien confirma un cambio en ella lo despliega, aunque nunca haya tocado el clúster ni conozca sus credenciales.

La consecuencia para el auditor es doble: las credenciales del clúster se vuelven menos valiosas para quien ataca, y el repositorio, más. Los controles de una rama de entorno (revisión obligatoria, sin push directo, administradores que no puedan saltarse las reglas) son controles de despliegue.

La tabla proteccion-ramas.txt resume la configuración de cada repositorio: revisiones exigidas, si se admite push directo y si los administradores pueden saltarse la regla. El archivo que-alimenta-cada-repositorio.txt dice con qué clúster se sincroniza cada uno. Cruza los dos: un push directo en un repositorio de pruebas es una decisión de comodidad; en uno que alimenta producción es un camino sin revisión.

El historial de historial-prod.txt muestra, para cada commit de la rama de producción, si llegó por solicitud de cambio (PR #…) o por push directo. La rama pide una revisión, pero la configuración deja a los administradores saltársela, y el historial es lo que dice si alguien lo hizo.

Cuenta los commits del historial que llegaron por push directo.

Una etiqueta como latest apunta a lo último publicado: el repositorio deja de decir qué versión exacta corre y pasa a delegarlo en el registro de imágenes. En GitOps eso rompe la promesa de que el repositorio describe el estado. Aparece en el historial como un push directo con un mensaje claro.

Con lo que has visto, el repositorio de producción permite saltarse la revisión y el historial muestra que se ha hecho más de una vez, una de ellas para dejar la versión sin fijar. El historial se conserva como evidencia; lo que se decide es cómo evitar que vuelva a pasar sin romper las entregas de los equipos.