Claves y cuentas de servicio centralizadas

Sin pasarela, la clave del proveedor vive en cada aplicación: en una variable de entorno, en un archivo de despliegue, a veces en un cuaderno. Si se filtra una, rotarla rompe a todas las que la comparten, y el panel del proveedor solo dice «la organización gastó», no qué aplicación lo hizo.

Con pasarela, la clave del proveedor vive en una bóveda que solo lee la pasarela. Cada aplicación recibe una clave virtual: una credencial que emite la pasarela, con dueña, modelos permitidos y fecha de vencimiento. Mejor aún, la aplicación se identifica con algo que no se copia con facilidad, como un certificado de cliente o la identidad de su carga de trabajo, y la clave virtual queda atada a ella. Así cada credencial se atribuye a una aplicación y se revoca sin afectar a las demás.

Una clave virtual vale lo que valen sus límites. Sin dueña, nadie responde por ella ni la revisa; con todos los modelos permitidos, quien la tenga puede usar el modelo más caro; sin vencimiento, sigue viva cuando el proyecto ya acabó. Una sola de esas faltas es un hallazgo; las tres juntas son una clave de proveedor con otro nombre.

Centralizar no termina al emitir claves virtuales: hay que retirar las claves de proveedor que quedaron repartidas. Una clave de proveedor olvidada en un repositorio permite llamar al proveedor saltándose la pasarela, con sus cuotas, sus filtros y su registro. Las excepciones aprobadas, con fecha de fin y guardadas en una bóveda, son otra cosa: se conocen y se vigilan.

Si dos servicios presentan la misma clave virtual, la pasarela ya no puede decir cuál de los dos hizo cada petición, y revocarla deja sin servicio a los dos. Por eso conviene que la pasarela identifique al servicio por algo distinto de la clave, como su certificado de cliente, y compare: una clave que llega desde más de un servicio es una clave compartida.

El escaneo encontró también el secreto de una clave virtual en un cuaderno. Aquí se ve la ventaja de centralizar: el daño posible se acota a lo que esa clave virtual permite, y se corta sin tocar a nadie más.