Credencial de una API de multas filtrada: qué hacer

Una credencial filtrada no es una rotación con el calendario adelantado: es otro procedimiento. En una rotación planificada la prioridad es no cortar —se emite la clave nueva, se migran los consumidores y recién al final se revoca la anterior—. Si hay motivos para creer que un secreto salió de su lugar, esa prioridad se cae: mientras la clave siga siendo aceptada, cualquier copia sirve para consultar las multas de cualquier patente.

Lo difícil no es emitir el reemplazo, sino responder qué patentes habilitaba consultar esa credencial y cuánto tiempo estuvo al alcance de otros. La mecánica del cambio sin interrupción está en rotación de credenciales de API sin corte.

El triage corre junto a la revocación, no antes

Hay tres cosas para fijar en los primeros minutos: qué credencial es —por su identificador, nunca por su valor—, dónde apareció y desde cuándo pudo estar accesible. Un secreto pegado en un ticket o subido a un repositorio tiene fecha, y esa fecha abre la ventana de exposición de la flota.

Ese triage no compite con la revocación. NIST SP 800-57 pide revocar la clave comprometida y, con información sensible en juego, encarar una evaluación de daño inmediata: van juntas. Lo que el triage decide es el modo. Revocar ya corresponde cuando la clave habilita consultar por documento o descargar informes de multas, o no se puede acotar quién la vio; el corte contenido —emitir, migrar en minutos, revocar— sólo se justifica con exposición limitada y verificable. En los dos casos la revocación tiene hora decidida y no espera a que un equipo termine su despliegue.

Antes de cortar, exportá la auditoría de la ventana: uso por identificador de clave, origen, códigos de respuesta, última actividad y qué patentes se consultaron. Del lado del proveedor registramos ese identificador y nunca el valor, para que un incidente se reconstruya sin que el secreto aparezca en un tablero. Y una regla sin excepciones: no se copia al ticket ni al informe.

El radio se calcula sobre lo que la clave habilitaba

RFC 6750 describe la propiedad que define el problema: una credencial de portador puede usarla cualquiera que la posea, sin una segunda prueba que la copia no tenga. NIST razona igual sobre una clave criptográfica: todo lo que protegía queda expuesto desde el compromiso. Por eso el radio no se estima por lo que se ve en los registros, sino por todas las patentes que la credencial permitía consultar en la ventana:

las operaciones y endpoints que el alcance habilitaba;
las empresas, flotas o vehículos visibles con ese alcance;
los reportes y exportaciones que podían generarse;
los secretos derivados que dependían de esa credencial.

La auditoría sirve para contrastar, no para cerrar el caso. Volumen inusual, horarios raros o patentes que ese consumidor nunca consultó son señales fuertes, pero su ausencia no prueba nada: un uso discreto es indistinguible del tráfico legítimo.

Si el alcance llegaba a datos de personas

La Agencia de Acceso a la Información Pública publica las obligaciones de quien es responsable de una base de datos personales —y un padrón de titulares con sus infracciones lo es—, entre ellas garantizar la seguridad con medidas técnicas y organizativas. Qué comunicar y en qué plazo depende del caso y de la normativa aplicable: es una consulta para asesoría legal, no una decisión de guardia. De guardia, registrá quién decidió qué y a qué hora.

Revocar la clave no revoca lo que la clave produjo

Una revocación prolija deja intactas cosas que ya salieron del sistema. Un token emitido con esa credencial puede seguir siendo válido hasta que expire; un enlace de reporte firmado sigue abriendo el informe de multas hasta su vencimiento; una exportación ya descargada no vuelve.

RFC 9700 recomienda atar el token a su portador legítimo para que una copia no alcance por sí sola, y ubica la vida corta con alcance reducido como lo que limita el impacto de una filtración. NIST SP 800-57 trata el compromiso como un estado del ciclo de vida de la clave: la pregunta no termina en el secreto. El cierre incluye invalidar tokens vigentes, rotar los secretos de firma que compartían custodia, vencer los enlaces a informes de multas activos y revisar copias en terceros.

La reemisión no puede repetir el camino de la fuga

La clave nueva se entrega por un canal distinto del que falló. Si el secreto viajó por chat, no vuelve a viajar por chat.

Un incidente suele dejar tres correcciones: una credencial por consumidor, para que la próxima revocación sea local; alcance mínimo, para que el radio se calcule chico; y vigencia declarada, para que una clave olvidada caduque sola. Después, cerrá la puerta por donde salió: detección de secretos antes del commit, filtrado de encabezados de autorización en logs y trazas, y una convención sobre qué se pega en un ticket.

Qué verificar antes de dar el incidente por cerrado

Cerrá el caso sólo si podés responder con evidencia:

la credencial anterior está revocada y una prueba negativa confirma que ya no autentica;
los tokens, las firmas y los enlaces derivados fueron invalidados o vencieron;
la ventana de exposición tiene inicio y fin documentados;
la auditoría de la ventana fue revisada y sus hallazgos quedaron registrados;
la clave nueva funciona con alcance igual o menor y llegó por un canal seguro.

Si alguna línea queda sin respuesta, el incidente sigue abierto aunque el tráfico se vea normal. Un plan de rotación ante compromiso no se mide por la velocidad con la que se cambió el secreto, sino por lo que se puede afirmar, con registro, sobre qué patentes habilitó consultar.

Metodología

Alcance: Procedimiento de respuesta ante la exposición de una credencial de integración: triage, ventana, contención, revocación, derivados y reemisión. No cubre la rotación programada sin corte ni el diseño del modelo de autenticación.
Unidad de análisis: Una credencial expuesta, identificada por su identificador no sensible, y la ventana de exposición asociada.
Cobertura: Principios de ciclo de vida de claves de NIST, semántica de credenciales de portador de las especificaciones OAuth citadas y obligaciones generales de seguridad publicadas por la autoridad argentina de datos personales, consultadas el 29 de agosto de 2026.

Limitaciones

No es asesoramiento jurídico: qué comunicar, a quién y en qué plazo depende del caso concreto y de la normativa aplicable.
Los plazos de contención y la decisión entre corte inmediato y corte contenido dependen del riesgo, la arquitectura y las obligaciones de cada organización.
La nota no publica secretos, endpoints internos ni la configuración específica de ningún sistema.

Fuentes

NIST SP 800-57 Part 1 Revision 5 — gestión de claves — National Institute of Standards and Technology (consultada el 2026-08-29)
RFC 6750 — uso de bearer tokens en OAuth 2.0 — RFC Editor (consultada el 2026-08-29)
RFC 9700 — prácticas de seguridad actuales para OAuth 2.0 — RFC Editor (consultada el 2026-08-29)
Obligaciones de responsables de bases de datos personales — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)

Preguntas frecuentes

¿Conviene revocar de inmediato o esperar a migrar a los consumidores?

Depende de qué habilitaba la clave y de si la exposición se puede acotar. Si el alcance es amplio o no se sabe quién vio el secreto, la revocación inmediata es la opción razonable aunque corte tráfico. Un corte contenido sólo se justifica con exposición limitada y verificable, y siempre con hora de revocación decidida de antemano.

¿Alcanza con revocar la clave filtrada?

No siempre. Un token emitido con esa credencial puede seguir siendo válido hasta que expire, un enlace firmado sigue abriendo el archivo hasta su vencimiento y una exportación ya descargada no vuelve. La contención incluye invalidar esos derivados, no sólo la clave.

¿Si la auditoría no muestra uso extraño, el incidente fue inofensivo?

No se puede afirmar eso. Un uso dentro del alcance habitual es difícil de distinguir del tráfico legítimo. La ausencia de anomalías es un dato del informe, no una conclusión: el radio se calcula sobre lo que la credencial habilitaba durante la ventana de exposición.

¿La rotación periódica evita tener que hacer todo esto?

Reduce la vida útil de una copia, pero no reemplaza el procedimiento. El calendario normal supone que las dos claves siguen bajo control; ante un compromiso esa premisa se cae y el plan pasa a ser contener, revisar y reemitir.

Credencial de la API de multas filtrada: plan de rotación