El gestor de secretos: dónde viven y quién los lee

Un secreto escrito en una variable de entorno, en el código o en un archivo de configuración se copia con cada despliegue, aparece en volcados de configuración y no deja rastro de quién lo leyó. Un gestor de secretos cambia el modelo: el valor vive en un único sitio cifrado, el acceso se da por identidad (la aplicación recibe permiso de lectura sobre ese secreto), cada lectura queda en el registro de auditoría y la rotación se puede automatizar. La aplicación guarda una referencia, no el valor.

El secreto deja de ser un texto que se pasa de mano en mano y pasa a ser un recurso con dueño, permisos y registro.

Cuando un secreto rota, el valor cambia en el gestor y también en el servicio que lo valida. Una aplicación que copió el valor al arrancar y lo guarda para siempre deja de funcionar tras la rotación, por eso la aplicación debe pedir el secreto cuando lo necesita. En Azure, el rol Key Vault Secrets User permite leer el contenido de los secretos y nada más; el rol Secrets Officer permite gestionarlos. La identidad de una aplicación que solo consume un secreto necesita el primero, no el segundo.

El permiso de la aplicación se mide por lo que hace con el secreto: consumirlo, no administrarlo.

Abre el laboratorio. La política de secretos pide que cada secreto lo lean, como máximo, dos identidades. Cuantas más lo leen, más lugares puede haberse copiado y menos se sabe quién lo usó. En el inventario, cuenta los lectores de cada secreto y localiza el que más acumula, entre los de AWS y los de Azure.

Un secreto puede estar en el gestor y, aun así, haberse copiado como valor escrito en la configuración de la función que lo usa. La exportación de variables de entorno distingue las que traen una referencia que se resuelve al arrancar de las que traen el valor. Busca la que trae el valor enmascarado en lugar de una referencia.

La segunda regla de la política pide rotación automática o un responsable con fecha. Para dimensionar el hallazgo, cuenta en el inventario completo —ambos gestores— cuántos secretos tienen la rotación automática apagada.