Anahtar rotasyonu
Şifreleme anahtarlarını düzenli aralıklarla değiştirmek; böylece sızan bir anahtar yalnızca sınırlı miktarda veriyi açığa çıkarır.
İyi uygulama: API anahtarları 90 gün, imza anahtarları yıllık, veritabanı kimlik bilgileri 24–72 saat (dinamik). KMS'ler (AWS, Azure, GCP, Vault) bunu otomatikleştirir. "Zarflı şifreleme"de veri bir DEK ile, DEK ise bir KEK ile şifrelenir; yalnızca KEK'in döndürülmesi gerekir.