Rotación de claves
Sustituir las claves de cifrado de forma periódica — así una clave filtrada solo expone datos limitados.
Buena práctica: claves de API cada 90 días, claves de firma una vez al año, credenciales de base de datos cada 24-72 horas (dinámicas). Un KMS (AWS, Azure, GCP, Vault) lo automatiza. "Cifrado de sobre" (envelope encryption): el dato se cifra con una DEK, y la DEK se cifra con una KEK — solo la KEK necesita rotarse.