Bitwarden: la bóveda del equipo
Dónde viven las llaves cuando trabajan varias personas: una sola fuente de verdad cifrada, un .env local por máquina y respaldos que solo viajan cifrados.
Ya tienes el .env fuera de git y guardianes en la puerta del commit. Queda
la pregunta incómoda: si el .env no sube al repo... ¿cómo le llega la llave
a tu socio? La respuesta que vemos todo el tiempo es la peor: por WhatsApp,
por un pantallazo, por un mensaje "bórralo después de copiarlo" que nadie
borra.
Cada copia suelta de una llave es una puerta más que no controlas. La solución no es compartir mejor: es dejar de compartir valores y compartir una bóveda.
Una sola fuente de verdad
En DigitalSoul la regla es una: la llave vive en Bitwarden y en ningún otro lado. Bitwarden es un gestor de contraseñas cifrado de punta a punta: ni la empresa que lo opera puede leer lo que guardas. Cada credencial existe una sola vez, en un solo lugar, y el equipo la consulta ahí.
La bóveda del equipo · el viaje de una llave
La llave vive en la bóveda, se materializa local y a la nube solo viaja cifrada.
Del gestor, la llave se materializa en cada máquina como secrets/.env —
un archivo local que git ignora. Nadie se la dicta a nadie: cada quien la
copia de la bóveda a su .env y listo. Mismo valor, cero pantallazos.
El respaldo viaja cifrado, o no viaja
¿Y si quieres un respaldo del .env en la nube, por si tu disco muere? Se
puede — pero nunca en claro. Un repo privado controla quién entra, no
cifra nada: el día que ese repo se comparta mal, tus llaves quedan legibles. Y
git es historia permanente.
El .env en un repo privado
- "Es privado, nadie lo ve"
- Un permiso mal dado y quedó expuesto
- Git guarda cada versión para siempre
- Controlar acceso no es cifrar
Un .enc con AES-256
- El archivo se cifra con una frase maestra
- Sin la frase, el respaldo es ruido
- Ese
.encsí puede versionarse tranquilo - Se regenera cada vez que cambia una llave
Con OpenSSL alcanza para el patrón completo:
# cifrar (AES-256 + derivación de clave PBKDF2)
openssl enc -aes-256-cbc -pbkdf2 -salt \
-in secrets/.env -out vault-secrets.env.enc
# recuperar en una máquina nueva
openssl enc -d -aes-256-cbc -pbkdf2 \
-in vault-secrets.env.enc -out secrets/.env
La Bóveda DigitalSoul: el mismo principio, hecho producto
Este patrón nos gustó tanto que lo convertimos en una app interna: la Bóveda DigitalSoul. La idea central es que el cifrado ocurre en el navegador: escribes tu llave maestra, el secreto se cifra ahí mismo y al servidor solo viaja el resultado cifrado.
Ver un secreto en la Bóveda
La app te trae el valor cifrado desde la base de datos.
La llave se valida y descifra el valor localmente. Nunca se envía.
El valor en claro existe solo en tu pantalla, el tiempo que lo necesitas.
Por qué importa dónde se descifra
Si el servidor pudiera descifrar tus secretos, el servidor sería el objetivo. Cuando el descifrado ocurre en el navegador, la base de datos puede filtrarse entera y lo robado sigue siendo ruido sin la llave maestra.
Si una llave se expone, se rota
La última regla cierra el sistema. No importa cómo se filtró — un pegado en un chat, un log, un pantallazo —, la respuesta es siempre la misma y siempre inmediata:
Protocolo de rotación
Rotar es barato. Confiar en que "nadie lo vio" es carísimo.
Para llevar
Con esto cierras la serie de seguridad: el .gitignore como valla, Gitleaks
y security-guidance como guardianes, y una bóveda como única fuente de verdad
— con respaldos que solo viajan cifrados y rotación inmediata cuando algo se
escapa. Ningún paso depende de tu memoria: todos son sistemas. Así se cuida
un negocio que construye con IA.
Sigue aprendiendo IA con nosotros
Lo que lees aquí es solo el comienzo. Únete a nuestra comunidad y aprende a construir y vender soluciones reales con inteligencia artificial.
- +80 personas aprendiendo en comunidad
- Directos cada semana con tecnología a la vanguardia
- Formaciones de los softwares para crear y vender soluciones