Entorno y credenciales

Parte del curso de Jenkins

Tu pipeline necesita subir una imagen a un registry, y el registry pide una contraseña. Lo más rápido que funciona es pegarla en el Jenkinsfile, y el Jenkinsfile vive en el repositorio, así que ahora la contraseña está en el historial de git para siempre, legible por todo el que tenga acceso para clonar y por cualquiera que llegue a tenerlo algún día. Rotarla significa encontrar todos los sitios a los que se copió.

Jenkins tiene una respuesta seria. Los secretos viven en un almacén de credenciales dentro de Jenkins, se referencian con un ID corto, y el pipeline los recoge en tiempo de ejecución. Jenkins además enmascara en el log de consola los valores de credenciales que conoce, así que un echo accidental imprime asteriscos y no tu token.