A maior falha de segurança da maioria das empresas não é um ataque sofisticado: é uma senha em texto plano dentro do código, numa planilha compartilhada ou num histórico de conversa. Colocamos as credenciais num cofre central (HashiCorp Vault), com o mesmo login que o seu time já usa, injeção automática no deploy e rotação sem intervenção humana. Mais seguro e mais cômodo que o jeito atual.
Nenhum destes itens exige um invasor habilidoso. Todos exigem apenas alguém com acesso a um lugar onde a senha nunca deveria estar.
Senha commitada no repositórioE, mesmo depois de removida do arquivo, ela continua no histórico do Git — visível para quem clonou o projeto uma vez.
Credencial passada por mensagemAquela senha do banco que circulou no grupo do WhatsApp e agora está no celular de sete pessoas, três delas fora da empresa.
Planilha de senhas compartilhadaFunciona até alguém sair da empresa. Aí ninguém sabe o que precisa ser trocado — então nada é trocado.
Acesso que não é revogadoO desligamento remove o e-mail, mas a chave SSH, o acesso ao servidor e a senha do banco continuam valendo.
Usuário compartilhadoTodo mundo entra como root, admin ou postgres. O log registra a ação, mas não registra quem fez.
Senha que nunca mudaA mesma credencial há cinco anos, porque trocar significaria descobrir, na marra, quais sistemas quebram.
O Vault é um cofre central de credenciais com controle de acesso por identidade, registro de auditoria e capacidade de gerar e trocar senhas sozinho. A parte que costuma dar errado em projetos assim é a adoção: se acessar um segredo virar burocracia, o time contorna. Por isso o nosso desenho começa pela usabilidade — e é o que faz a migração pegar.
Gerenciador de senhas resolve o lado humano, e é ótimo nisso. O que ele não faz é entregar credencial para máquina: a esteira que publica às 3 da manhã não abre um cofre para copiar e colar. Sem uma via automática, a senha acaba voltando para um arquivo de configuração no servidor — e o problema retorna inteiro.
Controle que atrapalha é controle contornado. Cada decisão de desenho aqui existe para que o caminho seguro seja também o caminho mais curto.
O cofre entra no login único da empresa. Não existe "senha do Vault" para decorar nem cadastro paralelo para manter — quem entra no portal entra no cofre.
Precisa da senha do banco para abrir o cliente de administração? Abre o cofre no navegador e copia. Sem abrir chamado, sem esperar alguém responder.
O fluxo normal de deploy não expõe credencial nenhuma: a esteira busca, injeta e descarta. O desenvolvedor lida com código, não com segredo.
Um login pela manhã cobre o dia de trabalho. Nada de reautenticar a cada comando — o atrito fica onde importa, na entrada, não no uso.
O padrão é ninguém ter acesso; a permissão é concedida por grupo, de forma explícita e rastreável. Esquecer de restringir deixa de ser possível.
Se o SSO cair, ou se o cofre precisar ser reaberto após uma parada, existe um caminho de contingência documentado e testado — com as chaves de recuperação divididas entre pessoas diferentes.
Um cofre impecável não protege um servidor com porta aberta para a internet. Tratamos as camadas em conjunto, todas descritas em código e reaplicáveis.
Login único (OIDC/OAuth2) integrado ao diretório da empresa, com permissão por grupo e desligamento que revoga tudo de uma vez.
Usuário nominal por pessoa, autenticação só por chave SSH, senha desativada, sudo registrado e lista de quem pode entrar mantida em código.
Regras declaradas por servidor: porta aberta só para quem precisa, e serviços internos acessíveis apenas pela VPN — não pela internet.
Certificados emitidos e renovados automaticamente (Let's Encrypt ou autoridade interna). Certificado vencido deixa de ser causa de indisponibilidade.
Vault instalado, com políticas por sistema, integração com a esteira, rotação automática onde faz sentido e rotina de backup do próprio cofre.
Cópia fora do servidor de origem, cifrada, com retenção definida — e um teste real de restauração, cronometrado, não presumido.
Seja uma auditoria formal, um questionário de cliente grande ou uma dúvida do jurídico sobre LGPD — a diferença entre "acho que sim" e uma resposta com evidência.
A lista sai do grupo de identidade, não da memória de alguém. E o registro do cofre mostra quem de fato leu a credencial, e quando.
Onde há rotação automática, a resposta é uma data recente e verificável. Onde é manual, existe um calendário e um responsável.
Remoção do grupo, revogação de chave SSH e rotação das credenciais que ele podia ler — um procedimento escrito, com passos verificáveis.
Está no histórico do repositório: autor, data, justificativa e quem aprovou. Configuração de segurança também é código versionado.
O inventário de recursos mostra provedor, região e responsável de cada base — informação que a LGPD cobra e que quase ninguém tem organizada.
Sim, e existe registro do último teste de restauração com o tempo que levou. Backup que nunca foi restaurado é só uma esperança guardada.
Do diagnóstico ao cofre em produção, com o time treinado e o processo escrito — nada que dependa de nós para continuar funcionando.
Busca por credenciais em repositórios (inclusive no histórico), arquivos de configuração e imagens de contêiner — com relatório do que precisa ser rotacionado com urgência.
Cofre em produção com TLS, políticas por sistema e ambiente, chaves de recuperação distribuídas e procedimento de reabertura documentado.
Autenticação OIDC contra o diretório da empresa, com mapeamento de grupos para permissões — sem cadastro paralelo de usuários.
Deploys passam a buscar credenciais do cofre no momento da publicação, tanto em Kubernetes quanto em servidores com Docker Compose.
Senhas de banco geradas e trocadas pelo próprio cofre, com o acesso humano reautenticando a cada sessão — sem quebrar as aplicações em execução.
Todas as senhas em uso saem dos arquivos e planilhas, entram no cofre e as versões antigas são invalidadas — em ondas, sem parar a operação.
Fim do usuário compartilhado: cada pessoa com seu login e sua chave, gerenciados em código e revogáveis em uma linha.
Log de acesso ao cofre habilitado e integrado à observabilidade, com alerta para leitura de credencial crítica fora do horário.
Documento curto de política de segredos e procedimentos práticos: conceder acesso, revogar, rotacionar, agir em suspeita de vazamento.
A migração é feita por ondas, com o ambiente antigo funcionando o tempo todo. Nenhuma virada de chave arriscada.
Levantamento de onde as credenciais estão hoje, quem acessa o quê e quais riscos precisam de ação imediata.
Instalação, integração com o login corporativo, políticas por sistema e o primeiro serviço migrado ponta a ponta.
Os demais sistemas passam a ler do cofre; as credenciais antigas são trocadas e perdem a validade.
Time treinado, runbooks entregues, auditoria ligada e acompanhamento até a rotina rodar sem a gente.
Toda credencial que já esteve em texto plano num repositório deve ser tratada como comprometida — mesmo que o arquivo tenha sido apagado, mesmo que o histórico tenha sido reescrito. Por isso o projeto sempre inclui rotação, e não apenas mudança de lugar. Guardar no cofre uma senha que já vazou é organizar o problema, não resolvê-lo.
Componentes abertos e padrões de mercado, sem caixa-preta proprietária no caminho das suas credenciais.
A varredura inicial responde isso em poucos dias — e já indica o que precisa ser rotacionado com urgência.