📋 Contenido
¿Secrets Manager o Parameter Store para guardar tus secretos en AWS? Usa Parameter Store, que es gratis, para configuración y secretos simples, y usa Secrets Manager cuando necesites rotación automática de las claves. Ahora el porqué.
La respuesta corta, para que la tengas ya: los dos guardan secretos cifrados y se controlan con permisos de IAM. La diferencia que decide es una: la rotación automática. Y el precio.
- Config y secretos simples (gratis) → Parameter Store
- Rotación automática → Secrets Manager
Parameter Store — gratis y suficiente
Parameter Store, parte de Systems Manager, guarda parámetros: configuración en texto y secretos cifrados. Se accede con IAM, se integra con todo AWS, y sus parámetros estándar son totalmente gratis. Para la mayoría de proyectos, sobra.
Config + secretos cifrados, acceso con IAM. Parámetros estándar GRATIS. Para la mayoría de proyectos, basta.
Secrets Manager — rota solo
Secrets Manager está pensado solo para secretos, y su superpoder es rotarlos solo: cada cierto tiempo cambia la contraseña de tu base de datos y actualiza dónde haga falta, sin que tú toques nada. Eso cuesta, alrededor de 40 centavos por secreto al mes.
Especializado en secretos, con ROTACIÓN automática (p. ej. la clave de tu BD). ~$0.40 por secreto/mes.
La línea que decide
La rotación automática es la línea que separa a los dos. Si tu seguridad o una normativa exige cambiar las claves cada pocos días sin intervención humana, Secrets Manager lo hace de fábrica. Parameter Store no rota solo.
¿Necesitas cambiar claves solas, sin intervención (normativa/seguridad)? → Secrets Manager. Si no → Parameter Store.
El intercambio
Comparado de frente: Parameter Store gana en precio y en que también guarda configuración normal; Secrets Manager gana en rotación automática e integración específica para secretos, a cambio de pagar por cada uno.
| Parameter Store | Secrets Manager |
|---|---|
| Gratis, config + secretos, no rota solo | Rota solo, ~$0.40/secreto/mes |
Regla rápida para decidir
Regla rápida para decidir. Empieza siempre con Parameter Store: para claves de API, direcciones y configuración, es gratis y suficiente. Sube a Secrets Manager solo para los secretos concretos que de verdad necesitan rotar solos.
- Por defecto: Parameter Store (gratis) para todo
- ¿Rotación automática obligatoria? → Secrets Manager
- Puedes mezclar: config en Parameter Store, la clave de BD que rota en Secrets Manager
- Nunca en el código ni en el repositorio, en ningún caso
Y recuerda la regla de oro que vale para los dos: los secretos nunca van en el código ni en el repositorio.
Preguntas frecuentes
¿Por qué puede salir caro?
Un aviso honesto: no pagues Secrets Manager para todo por defecto. Muchos equipos meten cada secreto ahí y la factura crece sin razón, cuando Parameter Store habría bastado. Paga la rotación solo donde la uses.
No metas TODO en Secrets Manager por defecto: paga la rotación solo donde la necesites. Lo demás, Parameter Store.
¿Por dónde empiezo?
Regla rápida para decidir. Empieza siempre con Parameter Store: para claves de API, direcciones y configuración, es gratis y suficiente. Sube a Secrets Manager solo para los secretos concretos que de verdad necesitan rotar solos.
¿Parameter Store cifra igual de bien que Secrets Manager?
Sí, siempre que uses parámetros de tipo SecureString: se cifran con una clave de KMS igual que los secretos de Secrets Manager, y el acceso se controla con las mismas políticas de IAM. La diferencia entre los dos no es la fuerza del cifrado, sino lo que trae encima: rotación automática, secretos de más de 4 KB y réplica entre regiones.