Secret (K8s)
Un objeto de Kubernetes para configuración sensible — contraseñas, claves de API, certificados. Funciona como un ConfigMap, pero está pensado para secretos y se trata con algo más de cuidado. Es tristemente célebre porque, por defecto, solo codifica en base64 (no cifra).
Mecánica: igual que los ConfigMaps, los Secrets se inyectan como variables de entorno o archivos montados. Un malentendido importante: base64 NO es cifrado — cualquiera con acceso de lectura puede decodificar un Secret sin esfuerzo. La protección real exige cifrado en reposo en etcd (hay que activarlo explícitamente), RBAC que limite quién puede leer los Secrets, y preferiblemente un gestor de secretos externo (HashiCorp Vault, AWS Secrets Manager) a través del driver CSI de Secrets Store, o Sealed Secrets/External Secrets para GitOps (para no meter secretos en texto plano en git). Gestionar bien los Secrets es uno de los fallos de seguridad más comunes en Kubernetes. Se diferencia de un ConfigMap por la intención y por las capas de protección adicionales que conviene añadirle. Relacionado con ConfigMap y la rotación de secretos.