Seguridad GitOps.

GitOps utiliza Git como única fuente de verdad y herramientas como Argo CD o Flux para reconciliar continuamente los clústeres con ese estado. Esto traslada el foco de seguridad al repositorio Git, las identidades de quienes commitean, los controles de pull-request y al propio controlador GitOps. Prácticas clave: protección de ramas, commits y tags firmados, CODEOWNERS, revisiones obligatorias, repositorios sin secretos (Sealed Secrets, External Secrets, SOPS, integraciones con Vault), policy-as-code (OPA Gatekeeper, Kyverno), verificación de firmas de imagen (Cosign), permisos restringidos del controlador y exportación de logs de auditoría. También hay que impedir que el controlador aplique manifests no revisados, charts Helm maliciosos o imágenes no firmadas. Configuraciones erróneas permiten escalar de un único PR a un compromiso total del clúster.