Se acaba de encontrar en un repositorio público una clave de acceso con permisos de producción. ¿Qué haces?

Revoca primero, investiga después. Desactiva o borra la clave de inmediato en vez de esperar a confirmar el uso indebido, y luego emite credenciales de reemplazo para que los servicios se recuperen. A continuación, saca el registro de auditoría de cada llamada hecha con esa clave desde que quedó expuesta, buscando direcciones desconocidas, identidades nuevas o accesos a datos. Trátalo como un incidente, involucra a seguridad, y haz seguimiento eliminando la necesidad de claves estáticas.

Desactiva la clave primero. La gente duda porque le preocupa romper algo, pero la clave es pública y la exposición se mide en segundos; los escáneres automáticos encuentran estas cosas más rápido que nosotros. Así que desactivar en vez de borrar al principio, ya que eso corta el riesgo y conserva la identidad para investigar, y luego consigue credenciales de reemplazo para lo que la necesitara de forma legítima. Después el radio de impacto. Saco del rastro de auditoría cada llamada hecha con esa clave desde que aterrizó el commit, y me importa cualquier cosa desde una dirección desconocida, y en concreto la persistencia: usuarios o roles nuevos, claves nuevas, políticas de confianza cambiadas, porque un atacante listo usa la clave filtrada una vez para crearse una vía de vuelta más silenciosa. También compruebo lecturas de datos y patrones de exfiltración. Se gestiona como incidente de seguridad con el equipo de seguridad involucrado, no en silencio por quien lo vio. Después, dos seguimientos. Por qué esta identidad tenía claves de vida larga siquiera, si debería ser un rol, y por qué nuestro escaneo de secretos no lo cazó antes del push. Los dos valen más que la rotación en sí.