Claves de proveedores de modelos y su gestión

Una clave de proveedor es un secreto de larga vida: no pertenece a una persona, vale hasta que alguien la revoque y funciona desde cualquier lugar de internet. Por eso se gestiona con tres reglas: una clave distinta por entorno (producción, pruebas) y por proyecto, el alcance mínimo que permita el proveedor, y un propietario con nombre que responda por ella.

Separar claves no es burocracia. Si una sola clave sirve a producción y a pruebas, la fuga de un cuaderno de pruebas compromete producción, y al revocarla se cae todo a la vez. Con una clave por proyecto, la revocación afecta a lo que hay que afectar y el gasto se atribuye a quien lo hizo.

El inventario de claves es la primera evidencia de una auditoría. Cada fila debería responder: de quién es, dónde vive, cuándo se rotó y qué puede hacer. Una fila que falla en varias columnas a la vez es una clave huérfana: nadie la rota porque nadie responde por ella, y su alcance suele ser el máximo porque se creó «para salir del paso».

Consulta el inventario y localiza la clave de producción que combina un alcance sobre todo el proyecto con la ausencia de propietario.

La rotación limita la vida útil de un secreto filtrado: si la clave cambia cada 90 días, una copia robada deja de servir como mucho 90 días después. Una clave sin rotar durante meses amplía esa ventana sin que nadie lo note, porque seguir funcionando no da ninguna señal.

Cuenta los días entre la última rotación de la clave huérfana de la tarea anterior y la fecha de la consulta, el 3 de octubre de 2026. Es un cálculo con fechas: cuenta los días reales de cada mes.

Los secretos acaban en sitios que nadie decidió: un archivo de despliegue, un cuaderno de análisis, un ejemplo de documentación. Un escaneo de secretos recorre los repositorios buscando valores con forma de clave y los cruza con el inventario. Lo que cambia la gravedad es la visibilidad del repositorio y si la clave sigue vigente: una clave vigente en un repositorio público está expuesta a cualquiera.

Lee el resultado del escaneo e identifica el repositorio en el que una clave vigente está a la vista de todos.

Cuando una clave vigente se expone, el orden importa. Borrar el archivo o limpiar el historial de Git no la protege: ya hubo tiempo para copiarla, y los rastreadores de repositorios públicos son rápidos. Lo primero es dejar la clave inservible (revocarla o rotarla); después se limpia, y se revisa en el panel del proveedor qué hizo esa clave desde que se expuso.