Auditar API keys en salud sin inflar el gasto de telemetría
Una arquitectura de registro que vincula credenciales y despliegues con HMAC-SHA-256, limitando cardinalidad y costes.
Registrar el uso de API keys en servicios de datos sanitarios suele derivar en dos problemas: o se loguea la clave (error crítico de seguridad) o se generan terabytes de telemetría inútil. Un reciente documento de diseño propone una solución intermedia: crear un evento único e inmutable al principio de cada despliegue que vincule una huella de la API key con el identificador de la build y la identidad del workload.
El objetivo es forense. Si una credencial se ve comprometida más adelante, un analista debe poder determinar qué versión exacta del código y qué instancia la usaban. Para lograrlo sin revelar el secreto, el esquema utiliza HMAC-SHA-256 con una clave de auditoría separada que nunca aparece en los logs. La clave se trunca a una longitud fija documentada. No es un mecanismo de autenticación ni permite recuperar la clave original; es simplemente un identificador para correlacionar registros. OWASP es claro al respecto: los secretos no deben aparecer en los logs, pero sí se puede registrar una referencia críptográfica inmutable.
Ingeniería de la decisión
La parte más compleja no es el cifrado, sino la gestión de la escala y la disponibilidad. El diseño define cuatro invariantes clave. Primero, que el lector del log no pueda reconstruir la clave. Segundo, que dos réplicas usando la misma clave generen la misma huella, permitiendo unir sus registros. Tercero, que el identificador de despliegue sea estable aunque el proceso se reinicie. Y cuarto, que la falla del sistema de logs no tumbe el servicio clínico principal.
Para mantener bajo control los costes, el artículo insiste en calcular la cardinalidad antes de implementar. En su ejemplo, 240 workloads con 6 despliegues diarios generan unos 2.880 eventos diarios. Si se registrara cada reinicio de réplica o cada request, la factura de la plataforma de observabilidad explotaría. La recomendación es disparar el evento solo una vez por intento de despliegue, no por request ni por process start.
La implementación en Node.js es directa: se usa el módulo nativo node:crypto para calcular el HMAC en memoria y se envía un JSON compacto a un collector interno. Se incluye un Idempotency-Key formado por workload_id + deployment_attempt_id + key_fingerprint para evitar que los reintentos de red dupliquen los registros y, por tanto, el coste. El endpoint de auditoría tiene un timeout corto (2 segundos en el ejemplo) para no bloquear la inicialización de la aplicación.
Para los equipos de infraestructura y seguridad, esto es una plantilla útil de ADR (Architecture Decision Record). No es una librería que instalar, sino una forma de estructurar los metadatos de auditoría para que sean operables y económicamente sostenibles en entornos regulados.
