Secretos en repositorios y variables

Un repositorio guarda todo su historial. Cuando se quita un archivo, deja de estar en la versión actual, pero cada confirmación anterior sigue conteniéndolo, y quien clone el repositorio recibe todas. Por eso un secreto que llegó a un repositorio se considera comprometido desde que se subió, aunque se haya borrado después, sobre todo si el repositorio se comparte o tiene copias.

La primera acción correctiva no es limpiar: es invalidar la clave, porque limpiar el historial no deshace lo que ya se copió. Limpiar el historial viene después, y se hace por higiene.

Para el informe hace falta señalar la confirmación exacta que introdujo el secreto, porque marca desde cuándo estuvo expuesto y qué copias lo contienen. La salida de la revisión de secretos enumera cada hallazgo con su archivo, confirmación y fecha. Uno de ellos es un falso positivo —un valor de ejemplo— y otro es una contraseña de base de datos. Interesa la clave de acceso de la nube.

Los secretos no solo viven en repositorios: también en las variables del pipeline de despliegue. Una variable de pipeline bien configurada se enmascara en el registro, de modo que sus valores no aparecen aunque alguien lea los resultados del despliegue. Una variable de identificador no es secreta y no necesita máscara; una de contraseña o de secreto de cliente, sí.

Lee las variables del pipeline y busca la que es secreta y no está enmascarada.

El impacto de una clave filtrada se mide en tiempo: cuanto más vivió expuesta, más oportunidades hubo de usarla, y más registros hay que revisar. La ventana va desde la fecha de la confirmación que la introdujo hasta la fecha en que se revocó. El cliente anotó la fecha de revocación en sus notas.

Calcula los días completos entre las dos fechas contando cada día del calendario.

El informe lo leen muchas personas y se archiva. Si copia un secreto completo, el informe se convierte en un nuevo lugar donde la clave está expuesta. La regla del oficio es la misma que la revisión aplicó: se identifica el hallazgo con datos que permitan al cliente localizarlo sin repetir el valor.