シークレットローテーション
パスワード、API キー、証明書、DB 認証情報などの秘密情報を定期的に差し替え、漏れても短時間しか使えないようにすること。盗まれた鍵が永久の裏口になるのを防ぎ、期限付きの脅威に変える。
秘密情報はログや git 履歴、侵害されたバックアップなどから漏れる。寿命の長い固定の秘密は、攻撃者に無制限の時間を与えてしまう。頻繁に変えれば、盗まれたコピーはすぐ無効になる。現代的なやり方は動的で短寿命のシークレットだ。たとえば HashiCorp Vault が数分〜数時間の TTL 付きで DB 認証情報をその都度発行したり、クラウドの IAM ロールが一時トークンを使ったりする。いつまでも居座る固定パスワードとは対照的だ。鍵は自動化である。手作業のローテーションは間隔が空きすぎ、しばしば障害も起こす。アプリがダウンタイムなしで新しい秘密を取得できなければならない。保管方法（Vault、K8s Secrets と外部ストア）と密接に結びつく。