101941 Hay credenciales por cliente pero no se ha declarado de quién es la de por defecto

Qué ha pasado

Un control que depende de que nadie olvide una línea, y cuyo olvido no tenía síntoma. Sin declarar el dueño de la credencial por defecto, esa credencial se repartía entre TODOS los clientes — que es exactamente el fallo que el 912 vino a arreglar.

Cómo se soluciona

Declarar ALCAZAR_SVC_<X>_KEY_OWNER en el .env del portal.

Qué hacer mientras tanto

Ya está fail-closed: si se olvida, la credencial por defecto no vale para nadie que no tenga la suya y las pantallas dicen «sin credencial para este cliente». Es visible, aunque lo mejor sea no llegar ahí.

Ya costó tiempo

2026-08-29 · hallazgo SEC-05 de la auditoría de seguridad

Dónde se lanza

web/app.py — _key_para(); hoy degrada al 912 sin decir que la causa es de configuración

El número viaja en la respuesta o en el registro: sí.