Compara credenciales para automatizaciones y agentes https://elrankeador.com/seguridad-identidades-no-humanas/comparar-credenciales/ Diseño de comparación: 2026-10-16. Las fechas factuales se indican por afirmación. La matriz comparativa se apoya en fuentes documentales. Incluye comprobaciones propias acotadas de Vault KV y AppRole, separadas de las declaraciones de producto. La selección es del lector; no es una recomendación ni una certificación. Resumen de una elección del lector entre dos alternativas sobre un criterio común. Reúne declaraciones documentadas y comprobaciones pendientes; no es una puntuación, recomendación, certificación ni prueba de compatibilidad. Sin evidencia suficiente no significa que una función no exista. ACLARA QUÉ DEBE HACER LA CREDENCIAL En esta comparación, estas operaciones no son equivalentes. Identifica cuál o cuáles describen tu caso antes de comparar productos. RECUPERAR UN SECRETO ALMACENADO La automatización obtiene un valor que ya estaba guardado. Esto no demuestra que el gestor cree una credencial nueva en el sistema de destino. Pregunta: ¿Qué credencial usa para entrar al gestor y cómo se entrega y revoca? ROTAR UN SECRETO Cambiar el valor almacenado exige saber quién actualiza el destino y cuándo deja de funcionar el valor anterior. No presupone el cierre de sesiones existentes. Pregunta: ¿Quién cambia el valor en el destino, cómo se propaga y qué ocurre con las sesiones abiertas? GENERAR UNA CREDENCIAL TEMPORAL El sistema emite o solicita una credencial para un destino y una vigencia concretos. El tiempo de vida (TTL) por sí solo no explica la revocación ni las conexiones ya establecidas. Pregunta: ¿Qué destino y permisos cubre, cuándo caduca y cómo se revoca antes del vencimiento? Revocación: Al probar la revocación, identifica el objeto exacto: acceso al gestor, credencial emitida en el destino o sesión ya abierta. Invalidar uno no demuestra automáticamente los otros. REQUISITOS DEL EQUIPO (completar en tu copia) Sistema/destino: Acceso necesario: Condición de exclusión: Preguntas por resolver: ALTERNATIVAS SELECCIONADAS HashiCorp Vault https://elrankeador.com/seguridad-identidades-no-humanas/hashicorp-vault/ Acceso de máquinas ¿Cómo se autentica la automatización y qué credencial necesita para arrancar? DECLARACIÓN DOCUMENTADA: HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas. Producto: HashiCorp Vault AppRole. Ámbito: Global. Condiciones: El método debe habilitarse y configurarse; Las políticas determinan las acciones autorizadas Fuente revisada: 2026-10-16; revisar antes de 2026-11-15; claim: vault-approle-autenticacion-maquina Generate tokens for machine authentication with AppRole: https://developer.hashicorp.com/vault/tutorials/auth-methods/approle Por comprobar: Confirmar entrega, custodia y revocación de las credenciales de AppRole. Credenciales temporales y revocación ¿Necesitas generar credenciales temporales o recuperar un secreto ya almacenado? DECLARACIÓN DOCUMENTADA: HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes. Producto: HashiCorp Vault. Ámbito: Global. Condiciones: Capacidades documentadas por HashiCorp; La configuración efectiva depende de los motores y políticas habilitados Fuente revisada: 2026-10-16; revisar antes de 2026-11-15; claim: vault-gestion-secretos-identidad How Vault works: https://developer.hashicorp.com/vault/docs/about-vault/how-vault-works Por comprobar: La declaración general de generación bajo demanda no concreta destino ni TTL. Confirmar motor, quién recibe la credencial, duración y revocación. WIF de plugins hacia cloud no acredita emisión a la automatización consumidora. Alcance de permisos ¿Puedes limitar el acceso a lo que exige este trabajo? DECLARACIÓN DOCUMENTADA: HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas. Producto: HashiCorp Vault AppRole. Ámbito: Global. Condiciones: El método debe habilitarse y configurarse; Las políticas determinan las acciones autorizadas Fuente revisada: 2026-10-16; revisar antes de 2026-11-15; claim: vault-approle-autenticacion-maquina Generate tokens for machine authentication with AppRole: https://developer.hashicorp.com/vault/tutorials/auth-methods/approle Por comprobar: Probar que las políticas deniegan acciones fuera del trabajo previsto. Registro de accesos ¿Podrás reconstruir qué identidad usó qué secreto y cuándo? DECLARACIÓN DOCUMENTADA: HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes. Producto: HashiCorp Vault. Ámbito: Global. Condiciones: Capacidades documentadas por HashiCorp; La configuración efectiva depende de los motores y políticas habilitados Fuente revisada: 2026-10-16; revisar antes de 2026-11-15; claim: vault-gestion-secretos-identidad How Vault works: https://developer.hashicorp.com/vault/docs/about-vault/how-vault-works Por comprobar: Confirmar los campos, retención y exportación del registro para este caso. Edición y disponibilidad ¿La función que necesitas está disponible en la edición y entorno elegidos? DECLARACIÓN DOCUMENTADA: HashiCorp documenta motores de secretos estáticos y dinámicos y registros de auditoría tanto en Vault Community como en Vault Enterprise; Community es autogestionado y Enterprise puede ser autogestionado o consumirse como HCP Vault. Producto: HashiCorp Vault. Ámbito: Global. Condiciones: Capacidades y modelos de despliegue declarados por HashiCorp; la página no demuestra una implantación concreta; Las diferencias funcionales adicionales, licencia, soporte y SLA deben contrastarse para la edición seleccionada; Disponibilidad comercial y condiciones aplicables en España deben confirmarse antes de contratar Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: vault-ediciones-despliegue-secretos Available Vault editions: https://developer.hashicorp.com/vault/tutorials/get-started/available-editions Por comprobar: Elige entre Community autogestionado y Enterprise autogestionado o HCP Vault. Confirma licencia, soporte, SLA, arquitectura, integración y condiciones aplicables en España. Akeyless https://elrankeador.com/seguridad-identidades-no-humanas/akeyless/ Acceso de máquinas ¿Cómo se autentica la automatización y qué credencial necesita para arrancar? DECLARACIÓN DOCUMENTADA: Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos. Producto: Akeyless Authentication Methods. Ámbito: Global. Condiciones: Lista y asociación a rol declaradas por Akeyless; no prueban configuración, disponibilidad contractual ni funcionamiento en un entorno concreto; El método aplicable depende del proveedor de identidad, la infraestructura, el Gateway y el tipo de cliente autorizados; Asociar un método a un rol no demuestra por sí solo mínimo privilegio efectivo ni permisos correctos en el sistema destino Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-metodos-autenticacion-maquina Authentication Methods: https://docs.akeyless.io/docs/access-and-authentication-methods DECLARACIÓN DOCUMENTADA: Akeyless documenta Universal Identity para máquinas on-premises: un administrador crea el método y genera un token que debe asociarse a un rol; el token tiene TTL, puede rotarse —reiniciando su TTL y conservando funciones y permisos— y puede revocarse. Producto: Akeyless Universal Identity. Ámbito: Global. Condiciones: Akeyless presenta Universal Identity para máquinas on-premises y afirma que evita un secreto inicial; El Rankeador no ha verificado esa afirmación en un entorno propio; La creación, entrega, almacenamiento, rotación automática y retirada del token deben probarse con el Gateway y cliente elegidos; Revocar el token UID documentado no demuestra retirar secretos ya leídos, credenciales del sistema destino ni sesiones ya abiertas Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-universal-identity-token Authentication Methods: https://docs.akeyless.io/docs/access-and-authentication-methods Universal Identity: https://docs.akeyless.io/docs/auth-with-universal-identity Por comprobar: Elige el método que corresponde al entorno. Para Universal Identity on-premises, prueba por separado quién crea y entrega el token, el rol asociado, el TTL, la rotación y la revocación; no lo confundas con la credencial del sistema destino. Credenciales temporales y revocación ¿Necesitas generar credenciales temporales o recuperar un secreto ya almacenado? DECLARACIÓN DOCUMENTADA: Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos. Producto: Akeyless Authentication Methods. Ámbito: Global. Condiciones: Lista y asociación a rol declaradas por Akeyless; no prueban configuración, disponibilidad contractual ni funcionamiento en un entorno concreto; El método aplicable depende del proveedor de identidad, la infraestructura, el Gateway y el tipo de cliente autorizados; Asociar un método a un rol no demuestra por sí solo mínimo privilegio efectivo ni permisos correctos en el sistema destino Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-metodos-autenticacion-maquina Authentication Methods: https://docs.akeyless.io/docs/access-and-authentication-methods DECLARACIÓN DOCUMENTADA: La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino. Producto: Akeyless Dynamic Secrets. Ámbito: Global. Condiciones: Requiere permiso Dynamic Secret en el Gateway y credenciales de cuenta y acceso para comunicarse con el destino; Los productores, políticas y opciones disponibles dependen del sistema integrado y la configuración; La caducidad, revocación y recuperación deben probarse en el entorno real Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-secretos-dinamicos-temporales Dynamic Secrets: https://docs.akeyless.io/docs/how-to-create-dynamic-secret Por comprobar: Probar expiración y revocación en el destino con los permisos del Gateway acordados. Alcance de permisos ¿Puedes limitar el acceso a lo que exige este trabajo? DECLARACIÓN DOCUMENTADA: La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino. Producto: Akeyless Dynamic Secrets. Ámbito: Global. Condiciones: Requiere permiso Dynamic Secret en el Gateway y credenciales de cuenta y acceso para comunicarse con el destino; Los productores, políticas y opciones disponibles dependen del sistema integrado y la configuración; La caducidad, revocación y recuperación deben probarse en el entorno real Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-secretos-dinamicos-temporales Dynamic Secrets: https://docs.akeyless.io/docs/how-to-create-dynamic-secret Por comprobar: Asocia el método de autenticación a un rol y prueba rutas y acciones permitidas y denegadas en Akeyless; valida por separado los permisos predefinidos que el productor aplicará en el destino. Registro de accesos ¿Podrás reconstruir qué identidad usó qué secreto y cuándo? DECLARACIÓN DOCUMENTADA: Akeyless documenta que sus Audit Logs muestran hora, acción, estado, cliente, dirección IP, tipo de acceso y producto; el formato raw añade secuencia por cuenta, Access ID, componente, duración, parámetros de solicitud y alcance y subclaims del cliente cuando se configuran. Producto: Akeyless Audit Logs. Ámbito: Global. Condiciones: Campos y detalle dependen de la acción, el método de autenticación y la configuración; scope_params y client_sub_claims son condicionales; La retención, integridad, permisos de consulta y exportación deben verificarse en la edición contratada; Un evento registrado no demuestra por sí solo detección, respuesta ni cumplimiento Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-audit-logs-campos Audit Logs: https://docs.akeyless.io/docs/audit-logs Por comprobar: Confirmar campos presentes, retención, integridad y exportación en la edición elegida. Edición y disponibilidad ¿La función que necesitas está disponible en la edición y entorno elegidos? DECLARACIÓN DOCUMENTADA: Akeyless presenta Pure SaaS como un servicio cloud plenamente gestionado y Hybrid SaaS con Gateways locales; en la tabla de Secrets Management publica para Free 5 clientes, 500 secretos estáticos, 5 secretos dinámicos y 5 secretos rotados, mientras Enterprise aparece con esas capacidades incluidas. Producto: Akeyless Secrets Management. Ámbito: Global. Condiciones: Características y límites declarados por Akeyless en su página pública; no constituyen una oferta contractual; La tabla citada es la de Secrets Management; otras tablas de la misma página usan límites distintos; Precio, soporte, SLA, conectores, Gateway y condiciones aplicables en España deben confirmarse antes de contratar Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: akeyless-despliegue-limites-plan Akeyless Pricing: https://www.akeyless.io/pricing/ Por comprobar: Elige Pure SaaS o Hybrid SaaS y contrasta los límites de Secrets Management de la edición seleccionada. Confirma Gateways, conectores, soporte, SLA, precio y condiciones aplicables en España. 1Password https://elrankeador.com/seguridad-identidades-no-humanas/1password-extended-access/ Acceso de máquinas ¿Cómo se autentica la automatización y qué credencial necesita para arrancar? DECLARACIÓN DOCUMENTADA: 1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos. Producto: 1Password Service Accounts y SDKs. Ámbito: Global. Condiciones: Requiere configurar una cuenta de servicio; El alcance efectivo depende de permisos de vault e item Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-acceso-runtime-agentes Service accounts and SDKs for agentic AI access: https://1password.com/blog/service-accounts-sdks-agentic-ai DECLARACIÓN DOCUMENTADA: 1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después. Producto: 1Password Service Accounts. Ámbito: Global. Condiciones: Declaración de 1Password; no es una prueba de entrega o custodia en el entorno de la persona lectora; La cuenta debe crearse con los vaults, Environments y permisos necesarios; Para cambiar el acceso o los permisos se debe crear otra cuenta de servicio; La documentación indica guardar y proteger el token como una contraseña; no almacenarlo en texto plano; No describe 1Password Credential Broker Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-token-arranque-alcance-inmutable Get started with 1Password Service Accounts: https://www.1password.dev/service-accounts/get-started 1Password Service Account security: https://www.1password.dev/service-accounts/security DECLARACIÓN DOCUMENTADA: 1Password documenta que rotar un token de Service Account genera otro con los mismos permisos y permite fijar cuándo caduca el anterior; revocar un token retira inmediatamente su acceso a los vaults de 1Password. Producto: 1Password Service Accounts. Ámbito: Global. Condiciones: La transición depende de la caducidad elegida para el token anterior y de actualizar cada consumidor; La rotación conserva los permisos de la cuenta; no sirve para cambiar vaults o permisos; La revocación descrita afecta al acceso del token a vaults de 1Password; No acredita retirada de secretos ya recuperados, revocación en sistemas destino ni cierre de sesiones existentes; No se ejecutó una rotación o revocación propia Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-token-rotacion-revocacion Manage service accounts: https://www.1password.dev/service-accounts/manage-service-accounts 1Password Service Account security: https://www.1password.dev/service-accounts/security Por comprobar: Define vaults y permisos antes de crear la cuenta; documenta la custodia y entrega del token mostrado una vez. Al rotarlo, fija la transición del token anterior y prueba por separado la revocación: retira el acceso a vaults, no demuestra retirada de secretos ya recuperados ni cierre de sesiones destino. Credenciales temporales y revocación ¿Necesitas generar credenciales temporales o recuperar un secreto ya almacenado? Sin evidencia suficiente en las afirmaciones seleccionadas. No acredita ausencia de la función. Por comprobar: La evidencia seleccionada sobre recuperación de secretos no acredita generación dinámica. Pedir documentación del caso concreto. Alcance de permisos ¿Puedes limitar el acceso a lo que exige este trabajo? DECLARACIÓN DOCUMENTADA: 1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos. Producto: 1Password Service Accounts y SDKs. Ámbito: Global. Condiciones: Requiere configurar una cuenta de servicio; El alcance efectivo depende de permisos de vault e item Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-acceso-runtime-agentes Service accounts and SDKs for agentic AI access: https://1password.com/blog/service-accounts-sdks-agentic-ai DECLARACIÓN DOCUMENTADA: 1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después. Producto: 1Password Service Accounts. Ámbito: Global. Condiciones: Declaración de 1Password; no es una prueba de entrega o custodia en el entorno de la persona lectora; La cuenta debe crearse con los vaults, Environments y permisos necesarios; Para cambiar el acceso o los permisos se debe crear otra cuenta de servicio; La documentación indica guardar y proteger el token como una contraseña; no almacenarlo en texto plano; No describe 1Password Credential Broker Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-token-arranque-alcance-inmutable Get started with 1Password Service Accounts: https://www.1password.dev/service-accounts/get-started 1Password Service Account security: https://www.1password.dev/service-accounts/security Por comprobar: Prueba acceso permitido y denegado a los vaults e items relevantes. Como vaults y permisos no se editan después de crear la cuenta, documenta cuándo necesitarías crear otra Service Account; rotar el token conserva los permisos. Registro de accesos ¿Podrás reconstruir qué identidad usó qué secreto y cuándo? DECLARACIÓN DOCUMENTADA: 1Password documenta que el Activity Log registra cuándo accede una cuenta de servicio a un secreto. Producto: 1Password Service Accounts. Ámbito: Global. Condiciones: Capacidad declarada por 1Password; Debe verificarse retención y detalle del log en el plan contratado Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-auditoria-service-account Service accounts and SDKs for agentic AI access: https://1password.com/blog/service-accounts-sdks-agentic-ai Por comprobar: Confirmar detalle y retención de Activity Log en el plan elegido. Edición y disponibilidad ¿La función que necesitas está disponible en la edición y entorno elegidos? DECLARACIÓN DOCUMENTADA: La documentación de Service Accounts fija una cuota diaria compartida de 50.000 solicitudes para una cuenta 1Password Business y 5.000 para una cuenta Teams. Producto: 1Password Service Accounts — Business y Teams. Ámbito: Global. Condiciones: Cuota de lectura y escritura conjunta por cuenta de 1Password en 24 horas; no por token ni por cuenta de servicio; Todas las cuentas de servicio de la cuenta comparten la cuota diaria; También existen límites horarios independientes de lectura y escritura por token; Algunos comandos de la CLI consumen más de una solicitud; No describe Credential Broker ni garantiza capacidad efectiva para un entorno concreto Fuente revisada: 2026-10-12; revisar antes de 2026-11-11; claim: onepassword-cuota-diaria-por-plan Service account rate limits: https://www.1password.dev/service-accounts/rate-limits Por comprobar: Estima las solicitudes de todas tus automatizaciones y contrasta la cuota compartida del plan y los límites horarios. Confirma permisos, entorno y condiciones contratables. Esta comparación no evalúa Credential Broker. COMPROBACIÓN PROPIA: ACCESO Y REVOCACIÓN EN VAULT KV En un laboratorio local de Vault 1.21.3, una política limitada permitió leer un secreto KV autorizado y rechazó otra ruta y la escritura. Tras revocar el token, y tras dejar caducar otro con TTL solicitado de dos segundos, nuevas lecturas devolvieron HTTP 403. Eso describe este ensayo, no Vault en producción. LÍMITE ANTES DE USAR EL RESULTADO Revocar o dejar caducar el token impidió nuevas lecturas KV con ese token. No retiró el valor sintético ya leído ni prueba qué ocurre con una credencial en el sistema destino o con una sesión que ya estaba abierta. ENTORNO Y VERSIÓN Producto y versión: Vault v1.21.3 (f4f0f4eb7f467bbc99ec89121e1d1ad9c3d78558) Fecha de observación: 2026-09-13T03:10:04.090798+00:00 Entorno: Servidor de desarrollo aislado, ligado a loopback y en memoria; Linux aarch64. Datos: Dos valores sintéticos sin credenciales ni sistemas de producción. OBSERVACIONES Comprobaciones superadas: 12/12. 1. Preparar la ruta KV permitida: HTTP esperado 200; observado 200; PASS. 2. Preparar otra ruta KV: HTTP esperado 200; observado 200; PASS. 3. Instalar la política limitada: HTTP esperado 204; observado 204; PASS. 4. Emitir un token lector no renovable: HTTP esperado 200; observado 200; PASS. 5. Leer la ruta permitida: HTTP esperado 200; observado 200; PASS. 6. Intentar leer otra ruta: HTTP esperado 403; observado 403; PASS. 7. Intentar escribir en la ruta permitida: HTTP esperado 403; observado 403; PASS. 8. Revocar el token lector: HTTP esperado 204; observado 204; PASS. 9. Leer con el token ya revocado: HTTP esperado 403; observado 403; PASS. 10. Emitir un token con TTL solicitado de 2 segundos: HTTP esperado 200; observado 200; PASS. 11. Leer antes del vencimiento: HTTP esperado 200; observado 200; PASS. 12. Leer después del intervalo de caducidad: HTTP esperado 403; observado 403; PASS. REPRODUCCIÓN Y CUSTODIA 3 ejecuciones conservaron 12/12 observaciones; 2 registraron la huella del script indicada. Script SHA-256: 62f37110001460f6fbe192499cf7ee6f55935879b9c3943c14ba3332b565fda9 Binario SHA-256: 6cd5bd62dfd52bd54e79e0c6afa683a4e38d899524fd6d28dd1c88f89effddd7 Comando: python3 reproducir-vault-kv.py --vault-binary /ruta/al/binario/vault --output resultado.json Registro público: https://elrankeador.com/seguridad-identidades-no-humanas/comparar-credenciales/evidencia-vault-kv.json Script reproducible: https://elrankeador.com/seguridad-identidades-no-humanas/comparar-credenciales/reproducir-vault-kv.py LÍMITES - Es una única configuración local en modo de desarrollo; no es un despliegue de producción ni una certificación de seguridad. - Prueba acceso, caducidad y revocación de tokens frente a secretos KV almacenados; no prueba generación de credenciales dinámicas de base de datos, AppRole ni WIF de plugins. - No mide auditoría, disponibilidad, rendimiento, integración cloud, licencias ni soporte. - No compara Vault con otras alternativas y no demuestra superioridad, compatibilidad o idoneidad para un caso real. COMPROBACIÓN PROPIA: ARRANQUE Y REVOCACIÓN CON VAULT APPROLE En tres ejecuciones locales de Vault 1.21.3, RoleID y SecretID permitieron obtener un token limitado a una política de lectura. Destruir el SecretID hizo fallar un login nuevo con HTTP 400, pero el token ya emitido siguió leyendo. Tras revocarlo, la misma lectura devolvió HTTP 403. Es una observación de laboratorio, no una garantía de producción. LÍMITE ANTES DE USAR EL RESULTADO Destruir el SecretID no revocó el token ya emitido. Esa distinción exige gobernar por separado la entrega y retirada del SecretID y la vida y revocación del token. El ensayo no prueba cómo transportar el SecretID ni retira valores ya leídos. ENTORNO Y VERSIÓN Producto y versión: Vault v1.21.3 (f4f0f4eb7f467bbc99ec89121e1d1ad9c3d78558) Fecha de observación: 2026-09-19T09:32:44.349952+00:00 Entorno: Servidor de desarrollo aislado, ligado a loopback y en memoria; Linux aarch64. Datos: Dos valores sintéticos sin credenciales ni sistemas de producción. OBSERVACIONES Comprobaciones superadas: 15/15. 1. Preparar la ruta KV permitida: HTTP esperado 200; observado 200; PASS. 2. Preparar otra ruta KV: HTTP esperado 200; observado 200; PASS. 3. Instalar la política limitada: HTTP esperado 204; observado 204; PASS. 4. Habilitar el método AppRole: HTTP esperado 204; observado 204; PASS. 5. Configurar el AppRole sin política default: HTTP esperado 204; observado 204; PASS. 6. Obtener el RoleID del rol: HTTP esperado 200; observado 200; PASS. 7. Generar un SecretID: HTTP esperado 200; observado 200; PASS. 8. Iniciar sesión con RoleID y SecretID: HTTP esperado 200; observado 200; PASS. 9. Leer la ruta autorizada con el token emitido: HTTP esperado 200; observado 200; PASS. 10. Intentar leer una ruta fuera de la política: HTTP esperado 403; observado 403; PASS. 11. Destruir el SecretID por accessor: HTTP esperado 204; observado 204; PASS. 12. Reintentar el login con el SecretID destruido: HTTP esperado 400; observado 400; PASS. 13. Leer con el token ya emitido después de destruir el SecretID: HTTP esperado 200; observado 200; PASS. 14. Revocar el token ya emitido: HTTP esperado 204; observado 204; PASS. 15. Leer con el token revocado: HTTP esperado 403; observado 403; PASS. REPRODUCCIÓN Y CUSTODIA 3 ejecuciones conservaron 15/15 observaciones; 3 registraron la huella del script indicada. Script SHA-256: e6c7faf76475db9a9c7b14e7eab3d57fcd1b65b5ba4c1b2585f7c0b5c985937a Binario SHA-256: 6cd5bd62dfd52bd54e79e0c6afa683a4e38d899524fd6d28dd1c88f89effddd7 Comando: python3 reproducir-vault-approle.py --vault-binary /ruta/al/binario/vault --output resultado.json Registro público: https://elrankeador.com/seguridad-identidades-no-humanas/comparar-credenciales/evidencia-vault-approle.json Script reproducible: https://elrankeador.com/seguridad-identidades-no-humanas/comparar-credenciales/reproducir-vault-approle.py LÍMITES - Es una única configuración local en modo de desarrollo; no es un despliegue de producción ni una certificación de seguridad. - No prueba la entrega protegida del SecretID, response wrapping, SecretID de usos limitados ni la renovación del token. - Revocar el token impidió nuevas llamadas con ese token; no retiró valores ya leídos ni prueba qué ocurre con una sesión abierta en otro sistema. - No prueba TLS, alta disponibilidad, namespaces, dispositivos de auditoría, rendimiento, disponibilidad, integración cloud, licencias ni soporte. - No compara Vault con otras alternativas ni demuestra superioridad, compatibilidad o idoneidad para un caso real. REGISTRO DE CAMBIO DE EVIDENCIA QUÉ CAMBIA ESTA COMPROBACIÓN PARA TU ENSAYO DE VAULT Publicado: 2026-09-20. OBSERVACIÓN YA PUBLICADA El laboratorio AppRole ya publicado observó en tres ejecuciones que destruir el SecretID impidió un login nuevo, pero no retiró el acceso del token emitido; tras revocar ese token, una nueva lectura fue denegada. CONSECUENCIA PARA EL ENSAYO No cierres una prueba de revocación al destruir el SecretID: la entrega y retirada del SecretID y la vida y revocación del token son decisiones separadas. SIGUIENTES COMPROBACIONES 1. Comprueba que un SecretID retirado no permite un login nuevo con la edición y el flujo de entrega que vas a usar. 2. Comprueba por separado que el token ya emitido pierde acceso cuando lo revocas y registra qué sucede con el destino y con sesiones ya abiertas. LÍMITE Esta observación local no prueba cómo transportar el SecretID, no retira valores ya leídos y no demuestra producción, compatibilidad, seguridad, disponibilidad ni idoneidad frente a otras alternativas.