Gestão de segredos em produção: o erro que compromete tudo

O problema que ninguém quer admitir

Em revisões de segurança, o achado mais frequente não é uma vulnerabilidade sofisticada — é credencial de banco de dados no repositório Git, API key em variável de ambiente sem rotação ou senha de produção em arquivo de configuração commitado há três anos.

Por que o problema persiste

• Conveniência vence segurança no curto prazo — hardcodar uma senha é rápido; configurar um vault é um projeto.
• Segredos vazados no Git vivem para sempre — mesmo após remoção do arquivo, o histórico mantém o segredo acessível.
• Ausência de rotação — credenciais sem prazo de expiração nunca são rotacionadas voluntariamente.

A solução: gestão centralizada com HashiCorp Vault ou AWS Secrets Manager

1. Centralizar — todos os segredos em um sistema de gestão dedicado, com acesso auditado.
2. Injetar em runtime — aplicações recebem credenciais no momento da execução, não no build.
3. Rotação automática — segredos expiram e são renovados automaticamente.
4. Detecção de vazamento — ferramentas como GitLeaks e Trufflehog escaneiam repositórios.