Skip to content

Revocar una clave

Retira una clave de forma definitiva: nunca vuelve a cifrar ni a firmar, sea cual sea la causa, y nunca puede volver a estar activa.

Quién puede hacerlo

Un administrador del tenant, un gestor de claves del tenant o un superadministrador de plataforma que trabaja dentro del tenant. En un despliegue SaaS, el servidor rechaza a un administrador de la plataforma. La consola ofrece Revocar solo a quien tiene el permiso para revocar claves, y solo en una clave que el servidor indica que se puede revocar.

La consola, la CLI de gestión de claves y el Admin SDK revocan mediante el servicio de administración de claves. Existe una segunda operación de revocación en el servicio criptográfico para la oferta del marketplace de RapidAPI: un suscriptor de RapidAPI revoca una clave mediante ella, y esta reenvía la revocación al servicio de administración de claves. No se puede alcanzar desde los puntos de entrada públicos de la plataforma, y la consola no ofrece ningún control para ella.

Antes de empezar

  • Se puede revocar una clave activa, vencida o suspendida. Una clave se revoca una sola vez: una clave ya revocada, archivada o pendiente de destrucción no se puede volver a revocar, porque eso reemplazaría la causa por la que se revocó.
  • La revocación es irreversible. Para retener una clave durante una investigación, suspéndela.
  • Elige la causa con cuidado. No es una etiqueta: decide qué sigue funcionando sobre los datos de la clave.
    • Compromiso de seguridad detiene el descifrado, la verificación, y el recifrado o la refirma a partir de la clave, en todas las versiones de material.
    • Cualquier otra causa (algoritmo obsoleto, administrativa, incumplimiento de política o requisito regulatorio) no detiene esas lecturas; la política de ciclo de vida de tu tenant sigue aplicándose a ellas y puede denegarlas por sí misma.
  • Una clave suspendida por un compromiso de seguridad solo se puede revocar por un compromiso de seguridad.

Pasos

  1. Abre Inventario de claves.
  2. Selecciona Revocar en la fila de la clave, o abre la clave con Ver detalles y selecciona Revocar al pie de sus detalles.
  3. En Revocar clave, elige la Causa. El diálogo muestra entonces, versión por versión, qué hace esa causa a las lecturas de esta clave, tal como lo calcula el servidor según la política de ciclo de vida de tu tenant.
  4. Escribe el Motivo. Se registra en la auditoría a nombre de tu cuenta y lo lee quien audite esta revocación más adelante.
  5. Selecciona Revocar clave.

Qué ves cuando funcionó

La consola indica que la clave ha sido revocada. La clave aparece como revocada, y sus detalles muestran la causa, tu motivo y cuándo se revocó. Cada versión de material que todavía no se destruyó se revoca con ella; una versión ya revocada por un compromiso de seguridad conserva esa causa. La revocación queda registrada en la auditoría.

Si revocaste desde los detalles de la clave, siguen abiertos sobre la clave y ahora ofrecen Archivar, el siguiente paso hacia su destrucción.

Si falla

Qué ves Causa Qué hacer
Elige una causa para habilitar esta acción. No hay ninguna causa seleccionada; no hay causa predeterminada Elige la causa
Escribe un motivo para habilitar esta acción. El motivo está vacío Escribe el motivo
Esta clave está suspendida por «Compromiso de seguridad», así que solo puede revocarse con la causa: Compromiso de seguridad. La clave está suspendida por un compromiso de seguridad y elegiste una causa más débil Revócala por un compromiso de seguridad
La clave no puede revocarse en su estado actual La clave ya está revocada, archivada o pendiente de destrucción, o te falta el permiso Para detener una destrucción, cancélala
El veredicto del servidor para esta clave no ha cargado; la acción permanece no disponible hasta que lo haga. La consola no pudo leer qué hace la causa a esta clave Espera, o selecciona reintentar en el diálogo

Sin la consola

Superficie Cómo
CLI de gestión de claves ankasecure-km keys revoke --kid <id> --cause <cause> --reason <text>
Admin SDK KeyOperations.revoke(String kid, RevokeKeyRequest request)
API POST /api/v3/admin/tenants/{tenantId}/keys/{kid}/revoke (operación revokeKey en el servicio de administración de claves)

Relacionado