Mejores prácticas de gestión de claves criptográficas

Lectura de 2 min aprox.

La gestión de claves es el proceso de administrar de forma segura todo el ciclo de vida de las claves criptográficas, desde la generación, el almacenamiento, la distribución y la rotación hasta su eliminación. Por muy fuerte que sea el cifrado, una gestión de claves descuidada hace que el cifrado pierda su sentido. Es un ámbito tan crítico que se dice que «el cifrado comienza y termina con la gestión de claves». A fecha de 2025, la revisión de las estrategias de gestión de claves en preparación para la migración a la criptografía poscuántica avanza en diversos sectores.

Qué cambia al separar las claves del código

Un problema recurrente en la gestión de claves es la estructura en la que las claves se copian y difunden por los mismos canales que el código fuente y los archivos de configuración. Una clave incrustada en el código queda expuesta en todos los lugares a los que llega el código —el historial del repositorio, las copias en las máquinas de los desarrolladores, la salida de compilaciones y registros— y, una vez que se ha colado, resulta difícil eliminarla por completo del historial. Además, sustituir la clave exige modificar y volver a desplegar el código, por lo que la rotación tiende a posponerse. Cuando las claves se separan en un servicio de gestión dedicado, el acceso a ellas pasa a estar sujeto al control de permisos y al registro de auditoría, lo que permite rastrear quién usó una clave y cuándo. La actualización de claves se convierte también en una operación independiente de los cambios de código, lo que facilita incorporar la rotación periódica a la operativa habitual. El cifrado de sobre, en el que la propia clave que cifra los datos se protege a su vez con una clave del lado del servicio de gestión, es asimismo un mecanismo basado en esta separación.

El ciclo de vida de las claves

La gestión de claves consta de cinco fases. En la fase de generación, se usa un generador de números aleatorios criptográficamente seguro (CSPRNG) y se garantiza una longitud de clave suficiente (AES-256, RSA-2048 o superior). En la fase de almacenamiento, se protegen las claves con un HSM o un servicio de gestión de claves en la nube (AWS KMS, Azure Key Vault). En la fase de distribución, se comparten las claves de forma segura mediante un protocolo de intercambio de claves (Diffie-Hellman) o el cifrado de sobre. En la rotación se actualizan las claves periódicamente, y en la eliminación se borran las claves de forma irrecuperable.

Patrones de fallo comunes

Fallos como codificar claves criptográficas en el código fuente, guardarlas en texto plano en archivos de configuración o reutilizar la misma clave en todos los entornos se ven con frecuencia en la práctica. También surgen problemas similares con la gestión de claves de API, por lo que se recomienda introducir una herramienta de gestión de secretos (HashiCorp Vault, AWS Secrets Manager). Si se descuida la rotación de claves, una clave filtrada permanece válida durante mucho tiempo, lo que crea el riesgo de que el daño se amplíe.

Gestión de claves a nivel individual

La gestión de claves SSH y claves GPG es importante incluso para los particulares. Establece una frase de contraseña para tu clave privada y protégela con una contraseña aleatoria suficientemente larga. La gestión de las claves privadas y las frases semilla de una billetera de criptoactivos está directamente ligada a la seguridad de tus activos.