Martes · código, análisis y secretos

Un repositorio archivado deja de recibir cambios, pero su historial se puede clonar tan bien como el de uno activo: una credencial que sigue vigente en el proveedor que la emitió sigue valiendo aunque nadie mire el repositorio. Se cruza el inventario con el estado de cada credencial en el proveedor: revocada es historia; activa es una puerta abierta.

Una firma válida solo dice que la clave que firmó es la que dice ser; no dice que quien firmó sea quien escribió el cambio. Si la cuenta dueña de la clave es distinta del autor, el commit está bien firmado y aun así puede no ser de quien figura. Una firma inválida o ausente es otro problema, que se cuenta aparte.

CodeQL analiza una base de datos que se extrae del código; lo que no entra en ella no se analiza y la herramienta no avisa. Un informe sin hallazgos en un lenguaje del que apenas se extrajeron archivos no demuestra nada sobre el resto. Se compara, por lenguaje, los archivos que hay con los que entraron en la base.

SARIF es el formato común, pero cada herramienta pone su propia regla y calcula su propia huella. La huella identifica el hallazgo aunque el código se mueva unas líneas, de modo que dos resultados con la misma huella son el mismo hallazgo visto dos veces. Deduplicar es contar huellas distintas, no filas.

Una política del gestor de secretos se lee por ruta y por capacidad. Un comodín sobre una ruta alcanza todo lo que cuelga de ella, y la capacidad de borrar secretos de producción es más de lo que necesita una cuenta de pipeline que solo lee lo que va a desplegar. Cada política se mira junto a quién la tiene asignada.