Secretos y credenciales

Los secretos se guardan cifrados (AES-256-GCM) y nunca se vuelven a mostrar: después de crearlos, ni siquiera un administrador puede leer su valor. Para cambiar uno, se borra y se crea de nuevo con el mismo nombre.

Alcance

Alcance	Lo reciben
Global	Todos los pipelines de la organización.
Pipeline	Solo el pipeline elegido.

Cómo llegan a los pasos

Al ejecutar, el valor de cada secreto se pasa al paso por su nombre. Por ejemplo, registry_user y registry_pass son las credenciales que usan Docker Build, Trivy (imagen) y Helm Deploy.

Prioridad: si un paso tiene un valor escrito en su propio campo, ese valor gana sobre el secreto. Un campo vacío no tapa el secreto.

Deja vacíos los campos de credenciales

Para que un paso use los secretos, deja vacíos sus campos de usuario y contraseña. Escribir credenciales directamente en un paso las guarda en la configuración del pipeline, fuera del almacén cifrado.

Buenas prácticas

• Usa tokens con el mínimo permiso necesario (por ejemplo, write:packages para publicar en GHCR).
• Prefiere tokens con caducidad y rótalos periódicamente.
• Usa alcance pipeline para credenciales que solo necesita un proyecto.