A Mozilla revogou a chave de assinatura do Firefox depois que uma cópia legível apareceu no GitHub. O time de segurança agiu rápido, mas a descoberta não foi deles: um pesquisador externo avisou. Durante um período que pode ter sido de dias ou de semanas, qualquer pessoa com acesso ao repositório poderia ter assinado código malicioso que pareceria legítimo.
A leitura preguiçosa é chamar isso de deslize: alguém deu commit no que não devia. É pior. É o caso clássico da salvaguarda que só existe no papel. A Mozilla tem política de segurança, tem regra de contribuição, tem treinamento. Nada impediu o commit e nada disparou alerta, porque a varredura não estava programada para procurar chave de assinatura em texto claro.
A consequência incomoda: mesmo organização madura opera com ilusão de controle. A chave estava guardada criptografada, alguém descriptografou para usar na própria máquina, e o arquivo foi junto no commit. O erro humano aconteceu, como sempre acontece. A falha estrutural é a ausência de uma barreira automática que impeça o erro de ter efeito.
A pergunta que vale para qualquer operação: o seu sistema de publicação bloqueia chave em repositório? Ele já foi testado com uma chave falsa? O alerta disparou? Alguém atendeu? Se as três respostas não forem sim, a trava é hipótese.
A Mozilla revogou a chave, e fez certo. Mas o que fica não é por que vazou. É por que ninguém em casa sabia que tinha vazado.