Publiqué mi contraseña/clave API en GitHub

O GitLab, o cualquier otra plataforma pública de gestión de control de fuentes. ¿Y ahora qué?

Me encontré con un sitio web que escanea continuamente GitHub , GitLab y BitBucket, los 3 lugares más comunes para alojar código fuente públicamente, y muestra contraseñas SSH comprometidas, claves API para servicios comunes, bases de datos, etc.

Da miedo ¿verdad?

Levante la mano si nunca le ha pasado. Podemos cometer errores. Y cuando esto sucede, no queda otra opción que invalidar rápidamente la contraseña o la clave API que se expuso al público.

Para las personas nuevas en Git : no pueden simplemente revertir la confirmación, porque aún se mantendrá en el historial del repositorio.

Tu reputación, la reputación de tu proyecto, la seguridad de tus usuarios está en juego.

Después de solucionar la emergencia, la cuestión es: ¿cómo prevenir el problema? ¿Cuál es la respuesta? ¿Cuál es la solución que puede ayudarnos a evitar que se envíen secretos a un repositorio de Git disponible públicamente?

La respuesta es: flujo de trabajo y herramientas.

En primer lugar, nunca agregue sus claves API ni contraseñas dentro del código fuente. Pueden ocultarse allí, sin hacer ruido. En lugar de eso, siempre agréguelas a un .envarchivo en la carpeta raíz del proyecto y agréguelas .enva su .gitignorearchivo, de modo que nunca se confirme. Use una herramienta como dotenv para acceder a ellas.Te recomendamos Juguetes educativos

Utilice git-secrets, una herramienta que le ayudará a evitar enviar secretos a Git.

En macOS lo instalas usando Homebrew:

brew install git-secrets

Luego, vaya al repositorio en el que desea activarlo y ejecute

git secrets --install

para instalar el gancho de pre-confirmación de Git. Esto garantizará que la herramienta se ejecute antes de que Git realice la confirmación en el repositorio.

Si utiliza Amazon Web Services (AWS), ejecute este comando para agregar el conjunto de patrones utilizados por las credenciales de ese servicio:

git secrets --register-aws

Puede escanear inmediatamente en busca de problemas utilizando

git secrets --scan

Lo ideal es que la herramienta no imprima nada, pero si tienes problemas, te dará muchos detalles.

Tal vez te puede interesar:

1. Introducción a React
2. Agregar evento de clic a los elementos DOM devueltos desde querySelectorAll
3. Cómo cambiar el valor de un nodo DOM
4. Cómo comprobar si un elemento DOM tiene una clase

Publiqué mi contraseña/clave API en GitHub

Me encontré con un sitio web que escanea continuamente GitHub , GitLab y BitBucket, los 3 lugares más comunes para alojar código fuente públicamente, y mue

programar

es

2025-01-22

Si crees que alguno de los contenidos (texto, imagenes o multimedia) en esta página infringe tus derechos relativos a propiedad intelectual, marcas registradas o cualquier otro de tus derechos, por favor ponte en contacto con nosotros en el mail [email protected] y retiraremos este contenido inmediatamente