📋 Contenido
La contraseña de tu base de datos escrita en el código, subida a Git, a la vista de todos. Ese es uno de los fallos de seguridad más comunes, y AWS Secrets Manager existe para acabar con él..
Un secreto es cualquier dato sensible: contraseñas, claves de API, tokens. El error clásico es escribirlos directo en el código o en un archivo. Si eso se filtra, regalas las llaves de tu sistema.
| En el código | En Secrets Manager |
|---|---|
| Se filtra en Git → desastre | Guardado y cifrado aparte |
Bóveda central cifrada
Secrets Manager guarda esos datos cifrados en un sitio central. Tu aplicación, en lugar de llevar la contraseña dentro, la pide en el momento que la necesita, y solo si tiene permiso para leerla.
La app pide el secreto cuando lo necesita; nunca lo lleva dentro.
¿Cómo controla el acceso?
El acceso lo controla IAM. Defines con permisos exactos quién y qué servicio puede leer cada secreto, con la regla del mínimo privilegio. Y cada lectura queda registrada, así sabes quién accedió y cuándo.
- IAM decide quién puede leer cada secreto
- Mínimo privilegio: solo quien lo necesita
- Cada acceso queda registrado (auditoría)
Rotación automática
Y aquí su superpoder: la rotación automática. Puede cambiar la contraseña cada cierto tiempo por su cuenta y actualizarla en tu base de datos, sin que tú toques nada ni se caiga tu aplicación.
Cambia las claves solo, cada cierto tiempo, sin cortes en tu app.
¿Y si es gratis?
Una aclaración de precio. Secrets Manager es de pago por secreto, pensado para contraseñas que rotan. Si solo guardas configuración normal, el Parameter Store de Systems Manager hace algo parecido y es gratis.
| Secrets Manager | Parameter Store |
|---|---|
| Secretos + rotación (de pago) | Config sencilla (gratis) |
Proyecto para practicar
Un proyecto para practicar: una app con base de datos de verdad segura. Guardas la contraseña en Secrets Manager, le dices que rote cada 30 días, y tu código la pide en el momento. Nunca más una clave en el repositorio.
App segura: la clave vive en Secrets Manager y rota sola cada 30 días; el código la pide al vuelo.
Preguntas frecuentes
¿Cuánto cuesta Secrets Manager?
El precio, con cifras. Cada secreto cuesta 40 centavos de dólar al mes, y cada 10.000 llamadas para leerlos, cinco centavos. No es gratis, pero pagas por la rotación automática y la seguridad, que es donde brilla.
- $0.40 por secreto al mes
- $0.05 por cada 10.000 llamadas a la API
¿Qué detalle de Secrets Manager sorprende a casi todos?
Un dato curioso: Secrets Manager puede cambiar por su cuenta la contraseña de tu base de datos usando una función Lambda, actualizarla en los dos lados a la vez, y todo sin cortar tu aplicación ni un segundo.
Rota la contraseña de tu base de datos con una función Lambda, sin cortar la app ni un segundo.
¿Por dónde empiezo con Secrets Manager?
Un proyecto para practicar: una app con base de datos de verdad segura. Guardas la contraseña en Secrets Manager, le dices que rote cada 30 días, y tu código la pide en el momento. Nunca más una clave en el repositorio.