Secretos en el código y en el estado

Un repositorio guarda todo su historial: la línea que se borra en un commit nuevo sigue visible en el commit donde se escribió, en cada copia clonada y en cualquier respaldo. Por eso quitar una clave de un archivo es un paso de limpieza, no de contención. La contención es invalidar la credencial —desactivarla y emitir otra— y, después, revisar con el registro de la cuenta si alguien llegó a usarla en el tiempo que estuvo expuesta.

Reescribir el historial puede ser un paso adicional, pero no sustituye a la rotación: no hay forma de saber quién copió el repositorio mientras la clave estaba dentro.

El primer paso para delimitar un secreto expuesto es encontrar el commit donde entró y qué archivo tocó. En diff-a41c9e7.txt está el cambio completo: las rutas de archivo aparecen en las líneas que empiezan por tres signos más. La clave es la de ejemplo que el proveedor publica en su documentación, y el valor secreto está omitido; lo que se aprende aquí es la lectura del rastro, no el valor.

La clave de acceso no es el único secreto del repositorio. terraform.tfvars está versionado y trae el valor de una variable que es la contraseña de la base de reportes. Lo correcto para un valor así es no escribirlo nunca en el repositorio: se entrega a la canalización desde un servicio de secretos o desde una variable protegida del sistema de integración, o se deja que el servicio de bases de datos gestione la contraseña maestra. Para el informe se necesita el nombre de la variable, tal como se declara en variables.tf.

Declarar una variable o una salida como sensible hace que Terraform oculte su valor en la salida de la consola y en la interfaz de revisión. No lo elimina del estado ni del plan: la documentación oficial advierte que los valores sensibles se guardan en los dos archivos y que quien pueda leerlos puede ver esos valores. En el extracto del estado de Alisio, la contraseña de la base aparece con todas sus letras.

Por eso el control de un secreto en Terraform no es un atributo del lenguaje, sino quién puede leer el estado y qué valores llegan a él.

El tiempo de exposición es lo que decide el alcance de la revisión posterior: durante esos días hay que mirar el registro de la cuenta buscando usos de la clave. Se cuenta desde el commit que la introdujo hasta la fecha de rotación, no hasta el commit que la «quitó», porque entre las dos fechas la clave seguía activa. El historial da la fecha de entrada y el registro de la respuesta da la fecha de rotación.