Gestión de secretos (Secrets management)

Un secreto es cualquier credencial que una aplicación necesita para autenticarse: la contraseña de una base de datos, una clave de API, un certificado de firma, un token para otro servicio. La gestión de secretos los pone en un almacén dedicado en lugar de en el código fuente o en ficheros de configuración. El almacén impone control de acceso (solo pueden leer un secreto las identidades que lo necesitan), mantiene un rastro de auditoría de quién leyó qué, y admite rotación para que un secreto filtrado tenga una vida útil corta. La aplicación recupera el secreto en tiempo de ejecución y lo usa. Esa es la diferencia clave con un KMS: un gestor de secretos devuelve el secreto para que la aplicación pueda leerlo y usarlo, mientras que un KMS retiene el material de clave y devuelve solo el resultado de las operaciones.

Los secretos se escapan del almacén mucho más a menudo de lo que el almacén falla. En los parques que probamos hay credenciales escritas a fuego en el código, subidas a repositorios (y conservadas en el histórico incluso después de borrarlas del fichero actual), horneadas dentro de imágenes de contenedor, dejadas en variables de entorno que se filtran por los logs, e incrustadas en el estado de Terraform. El otro problema recurrente es la clave de acceso de larga duración que no rota nunca, con lo que un secreto expuesto una vez sigue siendo válido indefinidamente. Desde el asiento del atacante, la primera hora en cualquier objetivo se dedica a buscar exactamente en esos sitios, porque un secreto encontrado se salta todos los demás controles y autentica directamente.

Cazamos secretos donde de verdad se filtran: el código fuente y su histórico completo, las canalizaciones de integración y de compilación, las imágenes de contenedor, la configuración y el estado de la infraestructura. Cualquier secreto encontrado se informa con su alcance y su validez, y el hallazgo empuja hacia un almacén gestionado con rotación y acceso de mínimo privilegio en vez de hacia una limpieza puntual, porque borrar la copia actual deja el histórico intacto. La corrección se ata de vuelta a la infraestructura como código cuando son las plantillas las que llevan el secreto. Esto forma parte de cómo cazamos secretos en el código y en las canalizaciones.