From 980839ab95023596317d34a037f1d95072ceed6c Mon Sep 17 00:00:00 2001 From: Sergio Date: Wed, 16 Sep 2026 20:58:47 +0000 Subject: [PATCH] anotado el secreto en claro de la card de openclaw, comprobado sin imprimirlo MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit `/etc/arje/cards.d/openrc-openclaw.json` de gioser tiene una credencial en claro adentro del JSON — 2 coincidencias con patrón de api_key/token. Ese directorio está en `fuera_de_git`, así que la mudanza lo copia y un respaldo lo multiplica. No lo toco: rotar una credencial es del dueño. Queda anotado con las dos salidas (rotarla y moverla a un fichero 600 que la Card EXIJA, como hace thasnuna; o que openclaw muera y se revoque igual), y con la que no es opción: copiarla tal cual. Co-Authored-By: Claude Opus 5 (1M context) --- docs/state/mudanza-decisiones.txt | 10 ++++++++++ 1 file changed, 10 insertions(+) diff --git a/docs/state/mudanza-decisiones.txt b/docs/state/mudanza-decisiones.txt index 1e5f2c5c..a93246b6 100644 --- a/docs/state/mudanza-decisiones.txt +++ b/docs/state/mudanza-decisiones.txt @@ -51,3 +51,13 @@ # rsync -aHn --mkpath --out-format='%n' -e 'ssh -p 23 -i ~/.ssh/github5' \ # /mnt/cosecha/respaldo-mudanza/ u647150@u647150.your-storagebox.de:respaldo-mudanza/ \ # | grep -v '/$' | wc -l + +# ── ⚠ PENDIENTE DE SEGURIDAD, COMPROBADO (2026-09-16) ─────────────────────────────────────────── +# `/etc/arje/cards.d/openrc-openclaw.json` de gioser contiene **una credencial en claro** (2 +# coincidencias con patrón `api_key`/`token`/`sk-…`; comprobado sin imprimir el contenido). Ese +# directorio está en la lista `fuera_de_git`, o sea que la mudanza lo copia, y un respaldo lo +# multiplica. Lo nombró primero el `INSTALAR.md` de thasnuna y acá se verificó. +# +# NO lo toco: rotar una credencial es decisión del dueño. Las dos salidas son rotarla y sacarla del +# JSON (el patrón de thasnuna: fichero 600 del usuario + la Card lo EXIGE), o decidir que openclaw +# muere con la máquina y que la clave se revoca igual. Lo que no es una opción es copiarla tal cual.