Escriba de Blast Radius de Segredos em Plataforma Gerenciada: laudo por superfície, ADR de fronteira e rotação por ondas com prova positiva e negativa

Quando a plataforma que hospeda seus serviços avisa "assuma que os segredos vazaram", o que decide não é a notícia — é a sua arquitetura. Este pacote entrega ao modelo o trabalho completo de um arquiteto sênior de segurança de plataforma sobre o dossiê do incidente e o seu inventário: onde cada segredo realmente mora, o que ele abre, em que ordem rotacionar sem derrubar produção e como provar que o valor antigo parou de funcionar.

O produto NÃO é um parágrafo pronto para copiar. São 5 arquivos complementares, feitos para rodar juntos no mesmo contexto: o prompt principal com schema fixo de 12 seções, as regras que impedem as falhas mais caras (rotação em massa, "não houve uso", escopo inventado), o contexto de domínio com as ressalvas técnicas e dois exemplos completos, um harness de verificação para o comprador, e templates de variação (versão de uma página, comunicado, adaptação para Kubernetes, VMs e serverless).

Para quem: arquitetos de segurança e de plataforma, SREs e tech leads que operam em PaaS/plataformas gerenciadas de containers; times que respondem a incidentes de fornecedor e precisam entregar laudo para comitê de risco, cliente enterprise ou auditoria.

Você fornece: o texto (ou trecho) do comunicado do incidente com horários; o que o provedor disse e não disse; número e nome dos workloads, jobs e addons; tipos de segredo por serviço e onde vivem (env, secret group, cofre); addons expostos publicamente; quem admite deploy; egress e metadata; detecção disponível; evidência de uso; críticas e restrições. Pode vir incompleto — o pacote trabalha com lacunas declaradas em vez de inventar dados.

Você recebe: um laudo único com resumo executivo em 4 números, fatos/inferências/lacunas com fonte e horário, matriz das 9 superfícies de exposição por serviço, classificação de cada segredo por tipo técnico (T1–T7) com o que a rotação exige e o que ela não resolve, blast radius com uma postura objetiva por serviço (S1–S5), ordem de rotação justificada por dependência, ondas com prova positiva e negativa, plano de detecção e janela passada, runbook das 3 primeiras horas, ADR de fronteira de segredos e riscos residuais com dono e data.

Os arquivos:

• 01-prompt-principal.md — persona, objetivo, entrada, passo a passo P1–P11 e schema exato de 12 seções.
• 02-regras-e-restricoes.md — 16 proibições e 8 obrigações, casos de borda (comunicado de uma linha, print de fórum, sem inventário) e formato de erro.
• 03-contexto-e-exemplos.md — glossário, premissas, as 9 superfícies, 5 ressalvas técnicas e 2 exemplos completos (normal e difícil).