Secret (K8s)
Objeto do Kubernetes para configuração sensível — senhas, chaves de API, certificados. Funciona como um ConfigMap, mas é pensado para segredos e tratado com um pouco mais de cuidado. Famoso por, por padrão, apenas codificar em base64 (e não criptografar).
Mecânica: como os ConfigMaps, os Secrets são injetados como variáveis de ambiente ou montados como arquivos. Equívoco importante: base64 NÃO é criptografia — qualquer pessoa com acesso de leitura decodifica um Secret sem esforço. A proteção de verdade exige criptografia em repouso no etcd (que precisa ser ativada explicitamente), RBAC restringindo quem pode ler Secrets e, de preferência, um gerenciador de segredos externo (HashiCorp Vault, AWS Secrets Manager) via driver Secrets Store CSI, ou Sealed Secrets/External Secrets para GitOps (para não commitar segredos em texto puro no git). Lidar mal com Secrets é uma das falhas de segurança mais comuns no Kubernetes. O que o distingue do ConfigMap é a intenção mais as camadas extras de proteção que você deve adicionar. Relacionado a ConfigMap e rotação de segredos.