Variables de entorno y secretos

Una variable de entorno de Lambda se guarda cifrada en reposo, pero cualquiera con permiso para leer la configuración de la función la ve en claro, y también aparece en exportaciones y herramientas de despliegue. La documentación de AWS recomienda usar un gestor de secretos en lugar de variables de entorno para credenciales de bases de datos, claves de API y tokens de autorización.

Una variable sirve para una dirección o un nivel de registro. Un secreto necesita permisos propios, rotación y rastro de quién lo leyó.

Abre config-funciones-aws.json. Las dos funciones son del mismo equipo, pero resuelven la configuración de formas distintas: una guarda el valor dentro de la propia configuración y la otra guarda solo una dirección que apunta al secreto. La segunda forma deja el valor fuera de la configuración que se exporta y se versiona.

En Azure Functions un ajuste de la aplicación puede ser una referencia a Key Vault (@Microsoft.KeyVault(...)). La plataforma resuelve la referencia con la identidad administrada de la aplicación, de modo que el ajuste no contiene el secreto: contiene el lugar donde está.

Abre ajustes-azure-fn-mirlo-envios.json. Un equipo que adopta referencias a Key Vault para lo importante suele dejar alguna credencial «para después». Ese ajuste es el que acaba en una exportación o en un repositorio.

Un secreto en un gestor solo es mejor que una variable si se rota. rotacion-de-secretos.txt trae la fecha de última rotación y la política de cada uno, con el inventario del 2026-10-02.