El secreto en el historial

Una credencial escrita en el código se copia a cada sitio donde va el código: el repositorio, cada clon en cada portátil, cada bifurcación, cada registro del pipeline que la imprime. Deja de estar bajo control en el momento en que se sube. En Cauce Pagos, una clave de la pasarela de pagos en el repositorio significa que cualquiera con acceso de lectura —hoy o dentro de un año— puede mover dinero. El sitio de un secreto es un gestor de secretos o una variable de entorno inyectada en tiempo de ejecución, nunca el código.

Entender que un secreto en el código ya escapó a cualquier control es lo que convierte «bórralo» en «rótalo».

El reflejo es quitar la línea y hacer un commit nuevo. No sirve: el sistema de control de versiones guarda todo lo que pasó, así que la clave sigue viva en el commit donde se escribió, y cualquiera que mire el historial la recupera intacta. Por eso el escaneo de secretos no mira solo la última versión: recorre el historial de commits. Y por eso la única respuesta segura ante un secreto que estuvo subido es rotarlo —anularlo y emitir uno nuevo—, porque asumir que nadie lo copió no es una defensa.

Que el historial conserve la clave aunque la línea desaparezca es exactamente lo que hace que rotar sea obligatorio y borrar sea insuficiente.

Gitleaks recorre el repositorio y su historial, y por cada coincidencia reporta una huella: la regla que disparó (por ejemplo, «clave de proveedor de pagos»), el archivo, la línea y el commit donde apareció. En la cadena de Cauce Pagos, esa salida es lo que le dice a quien opera dónde está el secreto y desde qué commit vive. Leerla bien es distinguir un hallazgo real —una credencial con formato de clave válida— de un falso positivo, como un ejemplo de documentación o un valor de prueba evidente. El commit y el archivo son la evidencia que sostiene la decisión de rotar.

Saber leer la huella de un hallazgo —regla, archivo, commit— es lo que convierte una alerta en una acción concreta.

Aquí se aplica la decisión de parar o avisar del módulo anterior. Un secreto con formato de credencial válida —una clave de pagos activa— es de los pocos hallazgos que se paran sin discusión: mientras esa clave siga viva y en el repositorio, cualquiera puede usarla, y ningún despliegue debería avanzar por encima de eso. No es un aviso para revisar la semana que viene; es un bloqueo hasta que la clave se rote y se saque del código. Un valor de prueba evidente, en cambio, se puede marcar como excepción documentada y dejar pasar.

Que un secreto válido pare la cadena, y no solo la anote, es la regla que hace que el control sirva de algo.

Abre el laboratorio del repositorio de Cauce y lee la salida de Gitleaks. Reporta dos coincidencias: una es un valor de ejemplo de la documentación y la otra es la clave de pagos viva. Aísla la válida y mira desde qué commit vive.