DevSecOps
Convierte el pipeline en una serie de gates de seguridad automatizados, sin frenar al equipo.
Qué es
es la combinación de cultura y automatización: la seguridad deja de ser una revisión al final del ciclo y se vuelve código dentro del CI/CD, con responsabilidad compartida entre desarrollo, operaciones y seguridad.
Security gates
Cada stage recibe una compuerta con un criterio explícito:
- PR bloqueado si o reportan un hallazgo crítico nuevo
- la solo se publica si pasa el escaneo de vulnerabilidades
- deploy condicionado a un artefacto firmado y verificado
- política como código (/Rego) versionada junto con el pipeline
Política como código: el gate escrito, no acordado
Un gate de verdad no es un acuerdo verbal: es un archivo versionado que el pipeline consulta. En OPA/Rego, la regla de abajo niega cualquier imagen con una vulnerabilidad crítica, y el texto del motivo sale en el mensaje de error del deploy:
package deploy
deny[msg] {
input.image.vulns.critical > 0
msg := sprintf("la imagen %s tiene %d vulnerabilidades críticas",
[input.image.name, input.image.vulns.critical])
}Probar la procedencia: el deploy que verifica la firma
El siguiente nivel es probar el origen y la integridad: frameworks como e registran la procedencia de cada artefacto, y herramientas como Cosign/Sigstore firman imágenes y commits. El deploy solo continúa si la firma coincide: el artefacto vino de tu pipeline, del commit esperado, sin manipulación:
cosign verify --key cosign.pub ghcr.io/org/app:1.4.2
cosign verify-attestation --type slsaprovenance \
--key cosign.pub ghcr.io/org/app:1.4.2El equilibrio
Un gate demasiado rígido termina siendo esquivado: los devs hacen bypass de la herramienta que frena la entrega por falsos positivos. El camino sano es empezar en modo auditoría (alerta sin bloqueo), medir, ajustar las reglas y endurecer los gates poco a poco. Cada endurecimiento es una decisión basada en datos, no en fe.
conexiones en el mapa
- DevSecOpsgates y políticasCI/CD
- Threat modeling: pensar como el atacante antes de programarse convierte en gateDevSecOps
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- El loop de verificaciónvibecodinggates automáticos en el pipeline, sin excepción para código generado
- CSPM - postura cloudcloudsecse vuelve política continua en producción
- Policy as codesecenggates y políticas, escritos como código ejecutable
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…