Key rotation
Regelbundet byta krypteringsnycklar — så en läckt nyckel bara avslöjar begränsad data.
Best practice: API-nycklar 90 dagar, signing keys årligen, database creds 24-72 timmar (dynamiska). KMS (AWS, Azure, GCP, Vault) automatiserar. "Envelope encryption": datat krypteras med DEK, DEK med KEK — bara KEK behöver roteras.