Los secretos del CI

Los CI separan dos lugares de configuración. Las variables son valores de configuración que se muestran y se imprimen en claro, como la zona horaria o la dirección de un servicio. Los secretos se guardan cifrados, no se pueden volver a leer desde la interfaz y el CI los enmascara en los registros, sustituyéndolos por asteriscos cuando aparecen exactamente como se guardaron. El enmascarado es una red de seguridad que ayuda, pero solo funciona con lo que está registrado como secreto: una credencial guardada como variable aparece en claro.

La regla práctica: si el valor da acceso a algo, va al almacén de secretos, nunca a una variable ni al archivo del flujo.

Un registro de ejecución lo puede leer cualquier colaborador del repositorio y se conserva durante semanas. Si un paso imprime el entorno, todo lo que no está enmascarado queda ahí escrito. En la ejecución 4471 aparecen cuatro variables de entorno: dos se muestran como asteriscos y dos en claro. La que importa es la que tiene forma de credencial y se ve completa.

Abre el registro y compara con la lista de variables de configuración del repositorio.

Un secreto tiene un alcance: el repositorio o la organización entera. Con alcance de organización, todos los repositorios con acceso pueden pedirlo en sus flujos. Eso convierte al repositorio menos cuidado en la puerta de entrada al secreto más valioso. La pregunta de revisión es sencilla: ¿cuántos repositorios pueden leerlo y cuántos lo usan de verdad? Si la primera cifra es mucho mayor que la segunda, el alcance sobra.

Cruza las dos columnas en secretos.txt.

Para medir el daño no basta saber que el valor salió una vez: hay que contar cuántas ejecuciones lo imprimieron, porque cada una dejó un registro legible. El historial del flujo marca, por ejecución, si el paso de configuración imprime el entorno y si el valor era visible. Ese recuento acota qué registros hay que consultar y dónde se pudo haber copiado la credencial.

Cuenta las ejecuciones del historial en las que el valor quedó visible.

Con la credencial expuesta durante días, el orden de respuesta importa. Primero se revoca el valor expuesto y se emite uno nuevo, porque mientras siga vigente cualquiera que lea esos registros puede usarla. Después se investiga con el registro de auditoría del registro de imágenes si alguien la usó desde un lugar inesperado. Por último se corrige la causa: pasar la credencial al almacén de secretos y quitar la impresión del entorno. Arreglar la causa antes de revocar deja la credencial viva.