Un equipo en remoto comparte secretos igual que comparte todo lo demás: por chat, entre husos horarios distintos y, a menudo, desde la mesa de la cocina con un portátil que también reproduce las series de la familia. La costumbre de oficina de inclinarse para leer una contraseña en la pantalla de otro se ha sustituido por pegarla en un mensaje directo, y el mensaje directo dura para siempre.
Compartir secretos de forma segura en un equipo en remoto no exige un gran programa. Exige un inventario, una regla para elegir herramienta, una política breve que la gente pueda recordar, la herramienta colocada donde el equipo ya trabaja y un plan para los dos momentos que causan la mayoría de las filtraciones: las salidas y los errores. Esta es esa configuración en cinco pasos.
Paso 1: saber qué estás protegiendo
Dedica una hora a listar los secretos que maneja el equipo y dónde está guardado cada uno hoy. La mayoría de los equipos encuentran lo mismo:
- Inicios de sesión compartidos en herramientas SaaS que no admiten inicio de sesión único ni cuentas por usuario.
- Claves de API y tokens de proveedores de pagos, correo, nube y estadísticas.
- Credenciales de infraestructura: contraseñas de bases de datos, claves SSH, claves de despliegue, claves de firma, certificados.
- Códigos de recuperación y copias de seguridad de la autenticación multifactor de las cuentas anteriores.
- Credenciales que aportan los clientes y que el personal de soporte necesita para resolver una incidencia.
Para cada uno, sigue el recorrido desde que se creó hasta cada lugar donde se ha guardado o al que se ha enviado. La lista de hilos de chat, apps de notas personales y contraseñas guardadas en el navegador es el verdadero registro de riesgos, y es más larga de lo que nadie espera.
Paso 2: una regla para elegir la herramienta
Un equipo en remoto necesita dos herramientas y una regla sencilla para elegir entre ellas.
| Si el secreto | Usa | Porque |
|---|---|---|
| Lo usan varias personas una y otra vez | Un gestor de contraseñas de equipo o un gestor de secretos | Acceso nominativo, revocación, rotación, autenticación multifactor en la bóveda |
| Se entrega a una persona una sola vez, o es temporal | Un enlace secreto de un solo uso | Cifrado en el navegador, destruido en la primera apertura, nada queda en el mensaje |
| Lo lee el código o la CI | El almacén de secretos de la plataforma o un gestor de secretos | Ninguna persona tiene una copia |
La bóveda es el registro de referencia. El enlace de un solo uso es el mecanismo de transferencia para todo lo que no encaja en la bóveda: el colaborador externo que nunca estará en ella, las credenciales del primer día de una nueva incorporación, la contraseña temporal de administrador que un compañero necesita ahora mismo a las 2 de la madrugada en su zona horaria. La guía enlaces secretos frente a gestores de contraseñas trata los casos límite.
Cuando evalúes cualquiera de las dos herramientas, hazte cuatro preguntas: ¿dónde se cifra?, ¿quién puede ver el valor sin cifrar?, ¿qué se registra? y ¿se puede revocar? Para los enlaces secretos de LinkPilot las respuestas son: en tu navegador; nadie salvo el destinatario; un historial de auditoría con Pro; y sí, hasta que se abre el enlace. La guía de cifrado en el cliente explica qué protege el cifrado en el navegador y qué no.
Paso 3: escribir una política de tres reglas
Quien trabaja solo a horas intempestivas no lee políticas largas. Tres reglas cubren la mayor parte del riesgo:
- Los secretos nunca van en el chat, el correo, las incidencias ni los documentos. Ni siquiera «temporalmente». Ni siquiera borrándolos después. Usa la bóveda o un enlace de un solo uso.
- Cada persona tiene su propio inicio de sesión cuando el sistema lo permite, con los permisos que necesita su función. Los inicios de sesión compartidos viven en la bóveda con acceso nominativo, nunca en un mensaje fijado.
- Cada entrega tiene un responsable y una fecha de fin. Quien comparte un secreto anota quién lo recibió, por qué y cuándo termina el acceso, sin anotar el valor.
Refuérzalas con autenticación multifactor en la bóveda y en cualquier cuenta que pueda crear o mostrar secretos, y con unos requisitos mínimos para los dispositivos: cifrado del disco completo, bloqueo de pantalla y ningún secreto en apps de notas personales ni en las contraseñas sincronizadas del navegador.
Paso 4: poner la herramienta donde ya está el equipo
Una política que obliga a abrir otra pestaña pierde contra la costumbre. Pon el camino seguro dentro de la herramienta de chat.
- Instala la app de LinkPilot para Slack.
/secrette responde solo a ti con un enlace de un solo uso para publicarlo en el canal.--ttl 1h,6h,24ho7dfija la expiración, algo importante cuando el destinatario está durmiendo. El atajo «Send as secret link» rescata una contraseña que alguien ya ha pegado y la sustituye por un enlace. - Configura la extensión de navegador de la bóveda como opción por defecto, para que buscar algo en ella cueste menos que preguntarlo en el chat.
- Automatiza donde el código necesita secretos. La CI y los despliegues los toman directamente del almacén de secretos, así que ningún ingeniero copia nunca un valor de producción para pegarlo en otro sitio.
Para una entrega entre husos horarios, la secuencia es esta: crea el enlace con una expiración de 24 horas, envíalo con una línea que explique para qué es, envía el nombre de usuario y el contexto en un mensaje aparte y pide al destinatario que confirme el acceso cuando esté conectado. Si el enlace indica que se abrió antes de que llegara, rota el secreto. La guía de credenciales entre equipos tiene la rutina de entrega completa.
Paso 5: planificar las salidas y las filtraciones
La mayoría de las exposiciones ocurren en dos momentos: cuando alguien se va y cuando alguien comete un error.
Salidas. Ten una lista de comprobación: quita a la persona de la bóveda y de todos los sistemas con cuenta individual, rota cualquier credencial compartida que haya podido ver, revoca sus claves de API y sus sesiones, y busca secretos que tuviera fuera de la bóveda. Hazlo el mismo día, también con los colaboradores externos cuyo encargo termina sin que nadie lo anuncie.
Cambios de función. Pasar a otro equipo es una revisión, no un reinicio. Retira el acceso a las colecciones de la bóveda del equipo anterior y a todo lo relacionado con producción que ya no toque.
Filtraciones. Haz que informar sea fácil y sin culpas. Quien pegó una clave en el canal equivocado debe poder decirlo en un mensaje y saber qué pasa después: el responsable rota el valor, actualiza los procesos que lo usan y revisa el historial de exportaciones del canal. El único mal resultado es la filtración que nadie menciona.
Supervisión. Revisa el registro de accesos de la bóveda y los historiales de auditoría de los enlaces secretos con una frecuencia acorde a la sensibilidad. Busca aperturas a horas raras, accesos desde lugares inesperados y envíos que no coincidan con una entrega anotada.
Cinco pasos, dos herramientas, tres reglas. Un equipo en remoto que tiene esto en marcha comparte secretos de forma más segura de lo que lo han hecho nunca la mayoría de los equipos de oficina, porque el proceso no depende de quién esté sentado al lado.