Riesgo: El proyecto incluye archivos .json (ej. pub-sub-consumer.json) dentro del árbol de src/main/resources.
Impacto: Si este archivo contiene llaves privadas o credenciales activas, podría exponer accesos a la infraestructura en el repositorio de código.
Mitigación: Asegurar el uso de un gestor de secretos (GCP Secret Manager, HashiCorp Vault) e inyectar configuraciones por variables de entorno u orquestador.
2. Archivos No Gestionados (Archivos Temporales o Keystores)
El uso de BouncyCastle y manejo de certificados implica lectura y escritura de llaves privadas/públicas para el timbrado. Es crítico no versionar los .cer o .key ni contraseñas asociadas (application.yaml).
Se observan librerías locales o privadas (back-java-lib-*). Se debe monitorear el ciclo de vida de estas librerías, ya que cambios incompatibles afectarán los pipelines de facturación.