Regla permanente de secretos: anti-patrones + hook journald #22

2026-10-31T18:00:40Z

cayce commented

2026-10-31 18:00:40 +00:00

3 tests anti-filtración en el repo + hook de journald (falla si hay DSN con contraseña o nsec en logs recientes, redactando valores). Contexto: rotación del rol hardcap ejecutada hoy; la línea filtrada a journald contiene la credencial VIEJA ya muerta.

cayce added 1 commit 2026-10-31 18:00:40 +00:00

regla permanente de secretos: test anti-patrones + hook de journald

ci / lint-test-leaks (pull_request) Canceled after 0s

Details

6ddf76983b

Nueva regla del operador (2026-10-31): los ficheros de secretos solo se
inspeccionan con herramientas que no muestran valores (jq keys, grep -c,
stat). Prohibido cat/grep -r sobre .env y volcar errores con DSN.

- tests/test_no_credential_patterns.py: 3 tests — DSN con credencial
  literal fuera de placeholders, nsec bech32 versionado, tokens hex de
  64 chars fuera de tests/.
- scripts/check-credential-leaks.sh: hook que falla si journald
  reciente contiene DSN con contraseña o nsec (redactando el valor en
  la salida). Sin timer propio (no autorizado); ejecutar manual o desde
  cron del operador.

Contexto: la rotación del rol hardcap y el DSN filtrado a journald por
el test del gate (corregido; la credencial filtrada ya está rotada).

Some required checks failed

ci / lint-test-leaks (pull_request) Canceled after 0s

Details

This branch is already included in the target branch. There is nothing to merge.

This branch is out-of-date with the base branch

View command line instructions

Checkout

From your project repository, check out a new branch and test the changes.

git fetch -u origin credential-leak-guard:credential-leak-guard

git checkout credential-leak-guard

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: cayce/cayce-ops#22