Protección de datos basada en integridad, no en suposiciones

Problema

Una migración personal necesitaba preservar originales y metadatos sin confundir una transferencia exitosa con integridad demostrada. Además, debía evitar que una sincronización o credencial excesiva pudiera propagar borrados.

Responsabilidad

Definí las ubicaciones, el método de copia, la evidencia de integridad, la política de privilegios y los criterios que deben cumplirse antes de retirar una fuente.

Restricciones

• No usar sincronización destructiva para réplicas.
• No tratar ETags como prueba criptográfica definitiva.
• No borrar una fuente antes de dos ubicaciones verificadas.
• No conceder permisos de eliminación a escritores cotidianos.
• No publicar nombres de objetos, rutas, contenedores ni conjuntos de copias de seguridad.

Arquitectura y enfoque

La fuente local, el almacenamiento externo y la réplica privada forman tres ubicaciones con roles distintos. Las copias usan semántica aditiva; los manifiestos SHA-256 y la descarga de verificación comparan contenido real. Las copias de memoria persistente se escriben sin sobrescribir conjuntos anteriores y validan su estructura antes y después de transferir.

Decisiones y compromisos

• Copia en lugar de sincronización. Reduce el riesgo de borrado propagado, aunque requiere políticas explícitas de limpieza.
• SHA-256. Cuesta más E/S que comparar metadatos, pero prueba contenido.
• Privilegios separados. Limita el impacto de una credencial, a cambio de mayor disciplina operativa.
• Solo adición. Conserva historial recuperable y desplaza la retención a un proceso controlado.

Implementación

Se generaron manifiestos, se realizó una comprobación con descarga y se mantuvieron réplicas en tres ubicaciones. Tras una incidencia de credenciales, se rotaron y se restauró el mínimo privilegio. El flujo de copia incorpora validación de integridad y conserva conjuntos anteriores.

Verificación

Incidentes y aprendizajes

Un sandbox de servicio bloqueó la escritura de un conjunto porque solo una ruta estaba autorizada. Las credenciales seguían siendo válidas y no hubo evidencia de pérdida. Se aplicó una corrección de mínimo privilegio que habilita únicamente el destino requerido; la réplica posterior terminó correctamente y el control de salud subsiguiente también fue satisfactorio.

Estado del alcance

Siguiente paso

Inventariar y validar los conjuntos no fotográficos, generar sus manifiestos y verificar sus réplicas antes de continuar con cualquier eliminación de origen.