Gestión de GitHub Tokens para Acceso Seguro a Repositorios

Contenido del curso

Fundamentos de Git y control de versiones

Introducción a GitHub

Herramientas de colaboración en GitHub

GitHub Codespaces

Seguridad y buenas prácticas en GitHub

Administración de GitHub

Gestión de Cambios con Pull Requests

GitHub Releases

Cierre

42
Pro tips ocultos de GitHub para trabajar mejor
10:13 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0014:45

Gestión de GitHub Tokens para Acceso Seguro a Repositorios

Curso de Git y GitHub

Clase 30 de 42

Clase 30 / 42

Recursos

Cuando trabajas con repositorios privados en GitHub, tarde o temprano necesitarás otorgar acceso temporal a otra persona o a una aplicación sin convertirla en colaborador permanente. Los GitHub Tokens o Personal Access Tokens resuelven exactamente este problema: funcionan como llaves temporales con privilegios controlados que tú defines, garantizando que quien las reciba solo pueda hacer lo que tú autorices y únicamente donde tú lo permitas.

¿Cómo se crea un repositorio privado para usar con tokens?

El primer paso es contar con un repositorio privado. Desde GitHub, selecciona el signo de más y elige la opción de nuevo repositorio [0:42]. Asigna un nombre, marca la opción privado y agrega un README junto con un archivo .gitignore según el lenguaje que prefieras. Una vez creado, tú como propietario puedes clonarlo fácilmente con HTTPS o SSH, pero cualquier otra persona necesitará credenciales específicas para acceder.

Para generar esas credenciales, ve a tu foto de perfil en la esquina superior derecha, selecciona Settings y busca la última opción en el menú izquierdo: Developer settings [1:26]. Aquí encontrarás tres secciones principales: aplicaciones con acceso autorizado, aplicaciones validadas mediante autenticaciones y, la más relevante, los tokens.

¿Cuál es la diferencia entre tokens clásicos y tokens detallados?

GitHub ofrece dos tipos de tokens con características muy distintas.

¿Qué permite un token clásico?

Los tokens clásicos te permiten asignar permisos por categoría general [1:55]. Al generar uno, defines:

Un nombre identificativo, como "Token Admin 02", idealmente con el nombre de la persona o aplicación que lo usará.
Una fecha de expiración, que puede ser desde siete días hasta "sin expiración" (aunque esta última opción no es segura).
Privilegios como acceso a repositorios, escritura de paquetes (NuGet, NPM, PIP), Gists y notificaciones.

Una vez generado, GitHub muestra el código del token una sola vez [3:18]. Si no lo copias antes de salir de la página, tendrás que eliminar ese token y crear uno nuevo. No hay forma de recuperarlo después.

¿Por qué elegir un token detallado o fine-grained?

Los tokens detallados representan una evolución significativa en seguridad [4:14]. Sus diferencias principales son:

La expiración máxima es de noventa días y no existe la opción de "sin expiración".
Puedes seleccionar el propietario de los recursos: tu cuenta personal o cualquier organización que administres.
El alcance se puede limitar a repositorios específicos, no solo por tipo (público o privado) [4:58]. Por ejemplo, puedes restringir el token para que solo acceda a un repositorio en particular.
Los permisos son extremadamente granulares: GitHub ofrece decenas de opciones para definir exactamente qué puede leer y escribir el token [5:30].

Al finalizar la configuración, un overview te muestra un resumen con la cantidad de permisos habilitados y la fecha de expiración [6:08]. El token generado comienza con el prefijo github_pat_ y es considerablemente más largo que un token clásico.

¿Cómo se usa un token para clonar un repositorio privado?

El flujo en la terminal es idéntico al que ya conoces con git clone, pero con un paso adicional de autenticación [7:10]. Al ejecutar el comando con la URL HTTPS del repositorio, la terminal solicita tu nombre de usuario de GitHub y luego un password.

Aquí está el detalle clave: no puedes usar la contraseña de tu cuenta si tienes habilitada la verificación en dos pasos [7:40]. En su lugar, debes pegar el Personal Access Token que generaste. Linux, por ejemplo, no muestra el texto al pegarlo, pero el proceso funciona correctamente. Después de autenticarte, la descarga del repositorio ocurre de manera normal.

Este mismo proceso aplica tanto si estás en un equipo ajeno sin tus credenciales como en tu propia máquina que aún no tiene configuración de GitHub.

Los usos prácticos de los tokens van mucho más allá de clonar repositorios. Sirven para automatizar tareas con GitHub Actions, crear workflows personalizados o ejecutar scripts que realicen commits automáticos en intervalos regulares [8:22]. Lo fundamental es mantener siempre la seguridad como prioridad: que los tokens expiren en un plazo razonable, que tengan acceso exclusivamente a lo necesario y que cumplan únicamente la función para la que fueron creados.

¿Ya has utilizado tokens en tus proyectos? Comparte tu experiencia y cuéntanos qué casos de uso te han resultado más útiles.

Carlos Ramos

Hace un año

Clase 30 - Cómo usar Tokens en GitHub para acceso seguro a repositorios privados

¿Podemos compartir con otra persona el acceso a un repositorio privado?
- Sí.
¿Cómo se llama la herramienta que nos brinda GitHub para poder darle a una persona acceso a un repositorio privado?
- Tokens.
¿Cómo podemos crear un Token en GitHub?
- Lo primero que debemos de hacer es ir a nuestra imagen de perfil y dar click sobre ella. Esto nos despliega un menú.
- En el menú desplegable debemos de buscar la opción “Settings”.
- Una vez estemos en la página de “Settings” debemos desplazarnos hasta el final del menú lateral izquierdo buscando la opción “Developer settings”.
- Lo anterior nos llevará a una nueva página que nos mostrará 3 cosas
  - GitHub Apps: Las apps que tienen permiso de acceso a nuestra cuenta de GitHub.
  - OAUth Apps: Apps que pueden ingresar a nuestra cuenta usando cierto modo de autenticación.
  - Personal acces tokens: Que es la opción que nos interesa para crear nuestro Token. Damos click en ella.
- Al dar click en la opción de “Personal access Tokens” nos despliega dos opciones para crear un Token. En nuestro caso debemos de dar click en la opción que dice “Tokens (Classic)”.
- Al seleccionar la opción anterior nuevamente seremos dirigidos a una nueva página. En esta ocasión debemos de mover nuestro cursor hacia el lado derecho de la pantalla buscando un elemento de drop-down o lista desplegable que dice “Generate new token”. En esta lista debemos de seleccionar la opción que dice “Generate new token (classic)”.
- Finalmente llegaremos a una nueva página en donde configuraremos nuestro Token.
  - Lo primero que debemos de hacer es asignar un nombre que identifique a dicho Token.
  - Elegimos el periodo de expiración del Token.
  - Elegir los privilegios que queremos que el token otorgue a la persona que tendrá acceso a nuestro repositorio privado.
- Luego de configurar nuestro Token solo queda dar click en el botón “Generate token” para terminar de crearlo.
¿Qué debemos de tener en cuenta cuando llegamos a la página en donde nos muestran que nuestro Token fue creado?
- Una vez hayamos creado el Token, lo que debemos de hacer inmediatamente es copiar en algún lugar el Token. Esto es porque GitHub no vuelve a dejar ver el contenido de este Token nunca más.
¿Qué tipos de Tokens existen en GitHub?
- Fine-grained Tokens.
- Tokens (Classic).
¿Cuáles son las diferencias entre Un Fine-grained Token y un Classic Token?
- El Fine-grained Token tiene más configuraciones de seguridad que el Classic Token.
- En los Fine-grained Token no podemos seleccionar quitar la fecha de expiración del Token
- Con los Fine-grained Token podemos tenemos la opción de configurar si queremos que la persona pueda o no acceder a más repositorios.
- Con los Fine-grained Token también podemos configurar accesos a la cuenta propia.
- El contenido del Fine-grained Token es más grande que el del Classic Token.
¿Qué buena práctica podemos seguir a la hora de nombrar un Token de GitHub?
- Agregar en el nombre del token el nombre del usuario al que le vamos a compartir el token o también podemos agregar el nombre del repositorio al que tendrá acceso el Token.
¿Cuáles son los rangos de tiempo que tienen los Tokens clásicos de GitHub?
- 7 días.
- 30 días.
- 60 días.
- 90 días.
- Personalizable
- Sin fecha de expiración.
¿Entre los rangos de expiración que tienen los Tokens clásicos en GitHub, cuál no deberíamos elegir y por qué?
- No deberíamos de elegir la opción “Sin fecha de expiración” ya que esto haría que en cualquier momento una persona mal intencionada que logre conseguir el token podría entrar en nuestro repositorio ya que este nunca se borrara.
¿Qué opciones de acceso a repositorios podemos otorgar usando un Fine-grained Token?
- Un acceso de solo lectura a todos los repositorios públicos de nuestra cuenta.
- Acceso total a todos los repositorios
- Acceso a uno o varios repositorios que nosotros escojamos.
¿Qué debemos de hacer cuando no copiamos el Token que nos muestran en la página de confirmación de la creación del Token?
- Eliminar el que creamos pero no tenemos el Token y crear uno nuevo, pero esta vez asegurándonos de copiar el contenido del Token
¿Qué buena práctica deberíamos de seguir cuando la persona a la que le compartimos un Token terminó su trabajo?
- Eliminar el Token.
¿Cómo podemos eliminar un Token en GitHub?
- Desde la página de “Personal access tokens” veremos una lista de los token creados. Lo unico que debemos de hacer es dar click en el botón que aparece al lado izquierdo del Token y que dice “Delete”.
¿Sí una persona accede a un repositorio privado usando un Token lo hace en calidad de colaborador?
- No. Entra como un usuario común y corriente sin necesidad de que los agreguemos como un colaborador del proyecto.
¿Si un usuario tiene un Token de algún repositorio nuestro puede acceder a cualquier lugar del repositorio o a otros repositorios?
- No, el usuario con el Token sólo podrá acceder y hacer lo que nosotros configuremos en el Token antes de compartirlo, además de solo poder acceder a dicho repositorio.
¿Qué debe de proporcionar un usuario que intenta clonar un repositorio privado pero que ya cuenta con un token y en qué momento debe darlo?
- El usuario deberá de escribir el contenido del Token en el momento que se le pida una passpheres para lograr clonar el repo en su entorno local, además de su nombre de usuario en GitHub.
¿En qué casos de uso podemos usar los Token de GitHub?
- Acceder de manera fácil a nuestros repositorios desde cualquier equipo.
- Automatizar tareas con GitHub Actions.
- Para crear Workflows personalizados.
- En Scripts personalizados.

Comentarios (21)21 comentarios

Gabriel Obregón

Dussan Freire

Hace 10 meses

Jose Luis Flores

Alexis Arnal

Hace 18 días

Jhon Freddy Tavera Blandon

SANTIAGO ALBERTO BOLIVAR CARDENAS.

Yesica Alejandra Giraldo Tique

Victor Matias Marquez

José Lancheros Ayora

Hace 6 meses

Diego Mauricio Zuluaga Rodríguez

Ruben Dario Leon Rivera

Camilo Salomon Lagos FLores

Hace 5 meses

Gabriel Ariza

Paul Andrés Andia Frias

Hace un mes•editado

Andrés Soret Chacin

Hace 3 meses

Jorge Rivadeneira Cevallos

Luis Quiroz Prada

Stivenson Jose Corredor Arango

Hace 2 años

Platzi

Alexis Dorado Muñoz

Miguel Angel Castillo Enriquez

Fundamentos de Git y control de versiones

Control de Versiones con Git y GitHub: De Básico a Avanzado

Fundamentos de Git: Configuración y Comandos Básicos

Control de Versiones con Git: Comandos Básicos y Flujo de Trabajo

Gestión de ramas en Git: creación, fusión y eliminación eficiente

Git reset vs revert para deshacer commits

Git Tag y Checkout sin romper tu proyecto

Cómo resolver conflictos de merge en Git

Uso de Git en Visual Studio Code

Introducción a GitHub

Uso de GitHub para Colaboración y Desarrollo Seguro

Cómo crear y proteger tu cuenta de GitHub

Proceso de Trabajo con Git y GitHub: Creación y Revisión de Repositorios

Crea y clona tu primer repo en GitHub

Precios y Planes de Productos de Github

Configuración de SSH en GitHub para Windows, Linux y Mac

Uso de Forks y Estrellas en Repositorios de GitHub

Uso de git pull, git push y git fetch en repositorios GitHub

Plantillas de issues en GitHub paso a paso

Uso de Pull Requests en GitHub para Colaboración Efectiva

Herramientas de colaboración en GitHub

GitHub Projects para gestionar tareas en equipo

Automatiza GitHub Projects con workflows

Recursos Esenciales de Markdown para Documentación Efectiva

Creación de una Portada de Perfil en GitHub con Markdown

Creación y Gestión de Wikis en GitHub

Uso de GitHub Gist para Compartir y Revisar Código Colaborativo

Creación y Publicación de Sitios Web con GitHub Pages

GitHub Codespaces

Creación y Gestión de GitHub Codespaces en la Nube

Plantillas de Codespaces con Django y devcontainer

Pair programming con Live Share en Codespaces

Uso del Editor Web de GitHub para Edición Rápida de Archivos

Seguridad y buenas prácticas en GitHub

Gestión de GitHub Tokens para Acceso Seguro a Repositorios

Secret Scanning en GitHub y sus límites

Gestión de Seguridad de Paquetes con Dependabot en Proyectos .NET

Repositorios privados y .gitignore en GitHub

Administración de GitHub

Creación y gestión de repositorios en GitHub

Automatización de GitHub Actions para Actualizar Perfil

Gestiona GitHub desde tu terminal con gh

Gestión de Cambios con Pull Requests

Configuración de Proyectos de Software con Git y GitHub

Cómo resolver conflictos de merge en VS Code

Estrategias de Fusión de Ramas en Git

GitHub Releases

Creación de Releases en Github para Desarrolladores de Software

Instala tu paquete pip desde GitHub

Cierre

Pro tips ocultos de GitHub para trabajar mejor

Gestión de GitHub Tokens para Acceso Seguro a Repositorios