Rotação de segredos
Trocar segredos — senhas, chaves de API, certificados, credenciais de banco — com regularidade, para que um segredo vazado só sirva por pouco tempo. A chave roubada deixa de ser uma porta dos fundos permanente e passa a ter prazo de validade.
O problema: segredos vazam (em logs, no histórico do git, num backup comprometido), e segredos estáticos e de longa duração dão ao invasor todo o tempo do mundo para explorá-los. A rotação reduz a janela: troque o segredo com frequência e a cópia roubada para de funcionar. Abordagem moderna: segredos dinâmicos e de vida curta — por exemplo, o HashiCorp Vault gerando credenciais de banco únicas sob demanda, com TTL de minutos ou horas, ou os papéis IAM da nuvem com tokens temporários, em vez de uma senha fixa que fica por aí para sempre. A automação é a chave: rotação manual é feita raramente demais e costuma quebrar coisas → ela precisa ser automática e transparente (a aplicação busca um segredo novo sem downtime). Está intimamente ligada a como você armazena segredos (Vault, K8s Secrets + cofres externos) e é peça central do gerenciamento moderno de segredos. Relacionado a Secret (K8s) e golden image.