Cos'è la gestione dei segreti (secrets management)?

La gestione dei segreti (in inglese secrets management) è l'insieme di strumenti e regole con cui un'azienda custodisce le credenziali che il suo software usa per dialogare con altri sistemi: chiavi API, password dei database, token di accesso, certificati, chiavi SSH. Si chiamano segreti perché chi ne possiede uno agisce a nome dell'applicazione. Invece che nel codice sorgente, in un file di configurazione o in un messaggio di chat, stanno in un archivio centrale cifrato, il vault, che decide quale programma può leggere quale segreto, registra ogni lettura e li sostituisce alla scadenza. Questo ciclo di vita (creazione, distribuzione, rotazione, revoca, verifica) è il vero contenuto della disciplina: custodire una chiave serve a poco se nessuno la cambia mai. Una chiave API finita nel posto sbagliato spesso non scade da sola: resta valida finché qualcuno non la revoca, a volte per anni.

Leggi anche: Non-Human Identity (NHI) · Un'identità digitale che appartiene a un software, non a una persona: service account, pipeline, bot e ora agenti AI che agiscono sui sistemi aziendali.

Dove finiscono le chiavi

Secondo lo State of Secrets Sprawl 2026 di GitGuardian (dati raccolti da un fornitore di sicurezza), nel 2025 sono finiti nei commit pubblici di GitHub 28,65 milioni di nuovi segreti scritti in chiaro, il 34% in più dell'anno prima. GitHub stessa ha contato oltre 39 milioni di segreti trapelati nel 2024 sull'intera piattaforma, con criteri propri. Per GitGuardian i segreti trapelati relativi a servizi di AI sono cresciuti dell'81% in un anno, un aumento che il rapporto lega alle credenziali portate da ogni nuovo strumento, agente o integrazione. Circa il 28% degli incidenti nasce interamente fuori dai repository, in Slack, Jira e Confluence. Delle credenziali trovate valide nel 2022, oltre il 64% funzionava ancora quando GitGuardian le ha ricontrollate a gennaio 2026.

Cosa cambia con un vault

Il Secrets Management Cheat Sheet dell'OWASP, fondazione non profit, raccoglie le pratiche di riferimento: centralizzare custodia, distribuzione, verifica e rotazione, dare a ogni programma solo i segreti che gli servono (privilegio minimo) e automatizzare. La rotazione automatica sostituisce a intervalli regolari i segreti statici; i segreti dinamici vanno oltre, perché il vault genera la credenziale su richiesta e la revoca appena non serve più. La SP 800-57 del NIST chiama cryptoperiod il periodo in cui una chiave è autorizzata all'uso. Il passo successivo è non conservare affatto il segreto, grazie alla workload identity federation; come governare i programmi che usano i segreti è il tema delle identità non umane, mentre le password delle persone restano affidate al password manager.

Un esempio enterprise

Il 21 ottobre 2026 Railway, piattaforma cloud per applicazioni, ha comunicato che un attaccante potrebbe aver avuto accesso alle variabili d'ambiente cifrate dei clienti, dove molte applicazioni tengono chiavi API e password dei database, e averne decifrata una parte. Il rapporto preliminare del giorno dopo conferma che una parte è stata decifrata: secondo le prime indagini l'attacco cercava chiavi dei fornitori di AI, e al massimo l'1,85% degli spazi di lavoro, cioè circa 100.000, ha avuto variabili potenzialmente compromesse. Railway ha chiesto ai fornitori coinvolti di revocare le chiavi, e a tutti i clienti di ruotare le proprie. La lezione, per me, è doppia: la cifratura protegge un segreto finché la chiave che lo apre resta al sicuro, e dopo un incidente conta quanto in fretta si sostituisce ogni credenziale.

Perché conta per chi decide

Un segreto trapelato non fa rumore: funziona come una chiave copiata. Al team chiederei conto di tre capacità, non del prodotto. Inventario: sapete dove si trovano le chiavi, comprese chat e ticket? Rotazione: quanto tempo serve per sostituire una credenziale critica senza fermare l'applicazione? Revoca e verifica: dopo un incidente sapete quali programmi hanno letto quale segreto? Il vault va scelto pensando all'uscita: l'OWASP raccomanda di conservare per ogni segreto metadati come chi l'ha creato, a cosa serve e quando va ruotato, per non restare legati a un solo fornitore. I controlli della pipeline, tema della voce DevSecOps, fermano le chiavi prima che arrivino nel repository; il vault governa tutte le altre.