Secrets Scanning
Caza tokens, claves de API y contraseñas antes de que se conviertan en un incidente, incluso en el historial de git.
Qué es
El recorre código, commits, pull requests y archivos de configuración buscando credenciales: claves de API, tokens de acceso, contraseñas, claves privadas y connection strings.
Es la verificación más barata del pipeline y protege contra una de las filtraciones más comunes: una credencial commiteada por error.
Cómo funciona: patrones y entropía
La primera capa es el pattern matching: los formatos de token son reconocibles. Las claves de AWS empiezan con AKIA, los tokens de API de Stripe con sk_live_, las claves privadas con -----BEGIN. Una regex bien hecha atrapa la mayoría.
La segunda capa es el análisis de entropía, para los formatos que nadie documentó: strings con apariencia de alta aleatoriedad (muchos caracteres distintos, sin patrón de palabra) cerca de nombres sospechosos como api_key, secret o password. Es lo que atrapa la clave casera de un servicio interno.
La tercera capa, cuando está disponible, es la verificación activa: la herramienta prueba si la credencial encontrada es válida, convirtiendo un 'hallazgo potencial' en un 'incidente confirmado'.
Una filtración, del commit a la rotación
El escenario clásico en tres actos. Acto uno: alguien pega una clave de producción directo en el código. Funciona, la prueba pasa, la vida sigue.
const stripe = new Stripe("sk_live_51H8xQ2eZvKYlo2CxT9mPq3");
// clave de producción en el códigoActo dos: el bot ya lo encontró
Segundos después del push, escáneres automatizados de terceros (y el secret scanning del propio GitHub) ya están probando la clave. Borrar el commit no lo resuelve: el secreto sigue en el historial de git, en forks y en cachés. Un informe típico de un scanner local:
Finding: stripe-access-token
Secret: sk_live_51H8xQ2eZ...
File: src/payments.ts:1
Commit: a1b2c3d
Entropy: 4.71Acto tres: revocar primero, explicar después
La única respuesta correcta es revocar y rotar la credencial de inmediato, antes de limpiar el repositorio y antes de conversar sobre el proceso. Ninguna limpieza de historial es lo bastante rápida para competir con un bot que prueba la clave cada segundo.
La prevención estructural es sacar los secretos del código de una vez: gestores como HashiCorp Vault, AWS Secrets Manager o Doppler inyectan la credencial en runtime y permiten rotación sin deploy.
conexiones en el mapa
- Secrets Scanningstage: sourceCI/CD
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Proteger al propio agentvibecodingsecretos fuera del alcance del agente y fuera del prompt
- Secrets - bóvedas y rotacióncloudseces el mismo problema: secretos fuera del código
- MCP - model context protocolai-agentslos tokens de servidores MCP se filtran de la misma manera
Estudia antes
Desbloquea
pon a prueba lo que entendiste
Cargando preguntas…