Se deben definir e implantar reglas para el uso eficaz de la criptografía, incluida la gestión de claves criptográficas.
Las claves privadas (exclusivamente claves RSA de 4096 bits) nunca salen del token de hardware y exigen introducir el PIN físicamente y confirmar con un toque cada operación. Ni siquiera una estación de trabajo comprometida puede acceder a las claves.
Los certificados de Let's Encrypt se renuevan automáticamente cada 3 meses. Las claves del controlador de Sealed Secrets rotan cada mes. Sin la carga de la rotación manual y sin ninguna incidencia por caducidad de claves.
Exigimos firmar los commits con YubiKey; si no, no se pueden subir, porque los runners de Gitea los bloquean.
Exigimos que todos los commits se firmen con nuestras claves GPG de YubiKey. Los runners de Gitea rechazan los commits sin firmar o firmados con claves locales, lo que garantiza la procedencia, la autenticidad y un historial de cambios a prueba de manipulaciones en todo el código.