Seguridad y manejo de secretos

No versionar secretos

El repositorio incluye .gitignore para ignorar:

Recomendación:

El código en SaveUrl.py toma secretos principalmente desde:

Airflow Variables:
- SQL: DB_MSSQ_USER, DB_MSSQ_PASSWORD, DB_MSSQ_SERVER
- FTP: FTP_000oqta_USER, FTP_000oqta_PASSWORD, FTP_000oqta_SERVER
- Webhook: WEBHOOK_URL_NOTIFICATION
- Kafka básico: BOOTSTRAP_SERVERS_DOCKER, KAFKA_USE_SSL
Variables de entorno del proceso (solo cuando KAFKA_USE_SSL=True):
- SECURITY_PROTOCOL, SASL_MECHANISM
- SASL_PLAIN_USERNAME, SASL_PLAIN_PASSWORD
- SSL_CAFILE, SSL_CHECK_HOSTNAME

Implicación:

Para Kafka con SSL/SASL, no basta con Airflow Variables: hay que configurar también env vars en el worker/scheduler (o usar un backend de secrets que las exponga como env vars).

Airflow Secrets Backend: usar un backend (Vault/AWS Secrets Manager/Azure Key Vault/GCP Secret Manager) en vez de Variables planas.
Rotación:
- FTP y SQL: rotación periódica y seguimiento de expiración.
- Kafka: rotación de credenciales SASL y CA si cambia.
Principio de mínimo privilegio:
- SQL user: permisos mínimos necesarios sobre URL_FTP (SELECT/INSERT).
- FTP user: permisos mínimos para listar/leer rutas necesarias (NLST).
TLS:
- si se habilita SSL en Kafka, asegurar que SSL_CAFILE apunte a un CA dentro del contenedor.

Revisar que no exista:

.env real en el repo
credenciales hardcodeadas en archivos .py
rutas de certificados locales de un desarrollador (ej. paths absolutos de Windows) en configuración de producción