El registro de auditoría

Cualquiera sea el resultado de una solicitud — permitida, confirmada, denegada, no direccionable — kovra la registra. kovra audit consulta ese registro. Responde “qué pasó con mis secretos, y quién lo pidió?” sin convertirse en un nuevo lugar donde un secreto pueda filtrarse: el registro guarda coordenadas, sensibilidad, timestamps y origen — nunca un valor, y nunca un fingerprint lo bastante completo como para confirmar una conjetura.

macOS

zsh

~ % kovra audit
TIMESTAMP             ACTION   COORDINATE           SENS    ORIGIN  FPR  RESULT
2026-06-05T19:29:26Z  create   dev/db/password      medium  human   -    created
2026-06-05T19:29:51Z  reveal   dev/app/api-key      medium  human   -    revealed
2026-06-05T19:32:07Z  timeout  prod/stripe/api-key  high    human   -    timeout
2026-06-05T19:32:29Z  reveal   prod/stripe/api-key  high    human   -    revealed
2026-06-05T19:32:44Z  inject   dev/db/password      medium  human   -    injected
5 event(s).

Windows

PowerShell

PS> kovra audit
TIMESTAMP             ACTION   COORDINATE           SENS    ORIGIN  FPR  RESULT
2026-06-05T19:29:26Z  create   dev/db/password      medium  human   -    created
2026-06-05T19:29:51Z  reveal   dev/app/api-key      medium  human   -    revealed
2026-06-05T19:32:07Z  timeout  prod/stripe/api-key  high    human   -    timeout
2026-06-05T19:32:29Z  reveal   prod/stripe/api-key  high    human   -    revealed
2026-06-05T19:32:44Z  inject   dev/db/password      medium  human   -    injected
5 event(s).

Las columnas

Columna	Significado
TIMESTAMP	Cuándo ocurrió (UTC, RFC-3339).
ACTION	create, reveal, inject, timeout, …
COORDINATE	El env/component/key tocado — nunca el valor.
SENS	La sensibilidad del secreto en ese momento.
ORIGIN	human o agent — quién la inició.
FPR	Un fingerprint corto y truncado cuando es relevante; nunca el hash completo.
RESULT	A qué se resolvió la solicitud (revealed, injected, denied, timeout, …).

Filtrado

Se acota el registro a lo que se está investigando:

kovra audit --coordinate dev/db/password   # one exact coordinate
kovra audit --env prod                      # everything in an environment
kovra audit --action reveal                 # only reveals
kovra audit --since 2026-06-01T00:00:00Z    # a time window

--component y --until también están disponibles. Como cada entrada lleva el origen, el registro también muestra exactamente qué hizo un agente en nombre del usuario — y, con igual utilidad, qué se le rechazó.