LifecycleCiclo de vida

revoke · rotate · ADR-028
Credentials die two ways: revocation (the credential itself is withdrawn — one POST and it lands on the public status lists) and key rotation (the agent's key changes; routine keeps the old key alive during an overlap window, compromise retroactively kills every presentation minted before the cut). Try both on the live agents below — the payment saga and every verifier react immediately. Una credencial muere de dos formas: revocación (se retira la credencial — un POST y aparece en las listas públicas de estado) y rotación de clave (cambia la clave del agente; routine mantiene viva la clave anterior durante una ventana de overlap, compromise mata retroactivamente toda presentación anterior al corte). Prueba ambas con los agentes vivos de abajo — la saga de pagos y todos los verificadores reaccionan al instante. Prefer the guided version? → Learn · Lifecycle lesson¿Prefieres la versión guiada? → Aprende · lección de Ciclo de vida
⚠ Rotating a REAL demo agent moves its registered key, but the agent's container keeps signing with the old one — its flows go quiet until the stack re-onboards (make bootstrap). That asymmetry is the lesson: rotation without the agent's cooperation is a revocation in disguise.⚠ Rotar un agente REAL del demo mueve su clave registrada, pero su contenedor sigue firmando con la vieja — sus flujos enmudecen hasta re-onboardear el stack (make bootstrap). Esa asimetría es la lección: rotar sin la cooperación del agente es una revocación encubierta.
Live agentsAgentes vivos
No agents yet — run make bootstrap.Aún no hay agentes — ejecuta make bootstrap.
The two semanticsLas dos semánticas

routine planned rotationrotación planificada

New key (kid v2) takes over; the OLD key keeps verifying during overlap_period. Presentations already in flight survive — ops can rotate on schedule without breaking anyone.La clave nueva (kid v2) toma el mando; la ANTIGUA sigue verificando durante el overlap_period. Las presentaciones en vuelo sobreviven — se puede rotar por calendario sin romper nada.

compromise the key leakedla clave se filtró

No overlap, and a retroactive cut: every VP with iat before the rotation start — or with no iat — dies with vp_invalidated_by_compromise_rotation, even though its signature is still mathematically valid.Sin overlap y con corte retroactivo: toda VP con iat anterior al inicio — o sin iat — muere con vp_invalidated_by_compromise_rotation, aunque su firma siga siendo matemáticamente válida.

Public status list · org-bsl-1Lista pública de estado · org-bsl-1 TSL (signed JWT) ↗
Empty — absence from this list means ACTIVE. Everything issued before the lifecycle train keeps verifying.Vacía — la ausencia en esta lista significa ACTIVA. Todo lo emitido antes del tren de ciclo de vida sigue verificando.
Lifecycle events · liveEventos de ciclo de vida · en vivo
Waiting… revoke or rotate something on the left.Esperando… revoca o rota algo a la izquierda.