Secret Rotation

Définition

La Secret Rotation (rotation des secrets) est la pratique de renouvellement régulier et automatique des credentials sensibles (mots de passe, clés API, certificats, tokens d'accès) utilisés dans les systèmes d'information. Dans un contexte DevSecOps, la rotation des secrets est un contrôle fondamental de sécurité qui limite la fenêtre d'exploitation en cas de compromission d'un secret : si un attaquant obtient une clé API, sa valeur devient nulle dès la prochaine rotation. Le principe de la rotation des secrets s'oppose à la pratique répandue des secrets statiques à longue durée de vie : une clé API créée une fois et jamais changée représente une exposition permanente si elle est compromise. La rotation réduit cette exposition à la durée entre deux rotations (par exemple : des tokens expirés toutes les 24h ne peuvent être exploités que pendant 24h maximum après leur compromission). Les secrets managers modernes (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) supportent la rotation automatique native pour de nombreux types de secrets. AWS Secrets Manager peut par exemple faire tourner automatiquement les mots de passe de bases de données RDS, les clés de chiffrement, et les tokens d'API de services AWS. La rotation est orchestrée par une Lambda function qui génère le nouveau secret, le met à jour dans la cible (base de données, service externe), et le publie dans le secrets manager. La mise en œuvre de la rotation des secrets dans les applications nécessite une architecture capable de renouveler les credentials en runtime sans coupure de service. Les patterns de "zero-downtime rotation" incluent la fenêtre de double-validité (l'ancien et le nouveau secret sont acceptés pendant une courte période de transition), les tokens à rotation progressive (les clients refetchent régulièrement le secret depuis le secrets manager), et les architectures IRSA/Workload Identity évitant les secrets statiques en utilisant des identités éphémères liées aux workloads. La fréquence de rotation est un équilibre entre sécurité (rotation fréquente) et opérabilité (risque de coupures lors des rotations). Les bonnes pratiques recommandent une rotation tous les 30 à 90 jours pour les secrets sensibles, avec rotation immédiate après tout incident de sécurité ou départ d'un collaborateur ayant accès aux secrets.