Secreto expuesto en una copia pública

Antes de decidir qué hacer hay que saber cuándo empezó el problema. El historial dice quién cambió qué, y el detalle por commit dice qué archivos tocó y si contenían el valor. No te quedes con el commit que lo quitó: ese cierra la historia en el repositorio, pero no la abre.

Una clave que alguien más pudo copiar ya no es secreta, y un repositorio no es el único sitio donde vive su contenido: toda copia conserva el historial que tenía el día que se hizo. El orden de la respuesta importa más que su rapidez, porque lo que se pueda pedir a un tercero no depende de ti, y lo que se pueda hacer con la clave sí.

Las horas de exposición se calculan entre dos marcas que están en la evidencia, y la resta se hace en horas, no en días a ojo. La copia pública conserva lo que tenía el repositorio el día que se creó; la persona externa avisó cuando lo vio, no cuando se creó la copia.

Un registro de uso se lee contra los rangos que son tuyos. Una dirección de tus servidores, una de tus ejecutores de integración continua y una dirección que no es de nadie conocido no se parecen, aunque las tres lleven el mismo resultado. Para decidir a cuál pertenece cada una hay que comparar con los bloques de la empresa, no con la memoria.

Acotar el alcance es decidir desde cuándo se revisa el uso de la clave. Empezar tarde deja usos sin mirar; empezar demasiado pronto cuesta tiempo, pero no esconde nada. La fecha de inicio la marca la primera vez que el valor estuvo a la vista de cualquiera, y eso depende de dónde estuvo y de quién podía verlo.