Secretos y código del repositorio

Una clave que ya estuvo en el repositorio se da por vista: el historial se clona, se copia y se indexa. Por eso el orden importa. Primero se anula el valor, es decir, se revoca y se rota con quien la emitió; después se revisa si se usó desde donde no debía; y solo entonces se decide si vale la pena limpiar el historial. Reescribirlo no devuelve el secreto a un lugar seguro, solo reduce dónde se puede encontrar.

El orden que protege es el que no depende de que nadie haya copiado nada todavía.

Para medir el alcance de una exposición no basta con saber que la clave existe: hay que saber desde cuándo. El historial de un archivo cuenta tres cosas distintas, y se confunden con facilidad: el commit que añade el valor, los que tocan el archivo sin tocar el valor y el que lo borra. Solo el primero marca el inicio de la exposición; el último marca el fin de la visibilidad en el archivo, no en el repositorio.

La fecha de inicio es la que decide qué registros del proveedor hay que revisar.

La cadena reportó cero coincidencias y la auditoría encontró cuatro. La diferencia tiene dos causas posibles que conviene separar: el modo de la corrida, que solo mira el cambio nuevo y no el pasado, y la lista de exclusión, que declara rutas que nadie vuelve a revisar. Una exclusión es una decisión de confianza escrita en un archivo y, como toda decisión de confianza, se revisa.

Una exclusión razonable cubre documentación y datos de ejemplo. Una que cubre código o configuración antiguos merece un vistazo a lo que hay dentro.

Una supresión en el código apaga un hallazgo concreto de una regla concreta. Bien usada, documenta un falso positivo con su motivo. Mal usada, convierte un informe en verde en un informe que no dice nada. La diferencia no se ve en el informe, que solo cuenta cuántas hay: se ve leyendo el código que cada supresión cubre.

La pregunta de revisión es siempre la misma: ¿el dato que llega a esa línea viene de fuera, o es una constante escrita por el equipo?

Hay siete supresiones, de las cuales dos no explican nada: una es solo la marca vacía y otra se justifica con una palabra suelta. Ni prohibirlas ni ignorarlas resuelve el problema de fondo: una regla de equipo que exija que cada supresión diga quién responde, por qué y cuándo se vuelve a mirar convierte la excepción en algo que caduca y se puede contar.

Lo que propones tiene que ser algo que la cadena pueda comprobar sola, no un acuerdo de buena voluntad.