Secret rotation
Het regelmatig vervangen van geheimen (wachtwoorden, API-sleutels, certificaten, databasegegevens) zodat een gelekt geheim maar kort bruikbaar is. Een gestolen sleutel is dan geen permanente achterdeur meer maar een tijdelijk risico.
Geheimen lekken (in logs, git-geschiedenis, een gecompromitteerde back-up), en statische, langlevende geheimen geven een aanvaller onbeperkt de tijd. Rotatie beperkt dat venster: wie vaak wisselt, maakt een gestolen kopie snel waardeloos. Moderne aanpak: dynamische, kortlevende geheimen, bijvoorbeeld HashiCorp Vault die op verzoek unieke databasegegevens uitgeeft met een TTL van minuten of uren, of IAM-rollen in de cloud met tijdelijke tokens, in plaats van een vast wachtwoord dat eeuwig blijft rondslingeren. Automatisering is de sleutel: handmatige rotatie gebeurt te zelden en gaat vaak mis, dus de app moet zonder downtime een vers geheim kunnen ophalen.