Secret Scanning en GitHub y sus límites

Contenido del curso

Fundamentos de Git y control de versiones

Introducción a GitHub

Herramientas de colaboración en GitHub

GitHub Codespaces

Seguridad y buenas prácticas en GitHub

Administración de GitHub

Gestión de Cambios con Pull Requests

GitHub Releases

Cierre

42
Pro tips ocultos de GitHub para trabajar mejor
10:13 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0011:19

Secret Scanning en GitHub y sus límites

Curso de Git y GitHub

Clase 31 de 42

Clase 31 / 42

Recursos

Subir por accidente una API key o una cadena de conexión al repositorio es uno de los errores más comunes en desarrollo. GitHub ofrece Secret Scanning y Code Scanning como red de seguridad para detectar esas filtraciones antes de que alguien las explote, y aquí verás cómo activarlas, probarlas y entender sus límites reales.

¿Por qué necesitas escanear secretos en tu repositorio?

Un archivo gitignore bien configurado evita que subas archivos sensibles, pero no protege contra el descuido humano. Puedes escribir una llave directamente dentro del código fuente y, sin darte cuenta, hacer push de información que compromete cuentas de terceros.

Entre los datos delicados que suelen filtrarse están:

Llaves de acceso a APIs externas como Stripe.
Cadenas de conexión a bases de datos.
Tokens de autenticación o credenciales de servicios cloud.

¿Qué es un secreto en GitHub? Es cualquier credencial, token o llave que da acceso a un servicio. Si queda expuesto en un commit, cualquiera con acceso al repositorio puede usarlo.

¿Cómo activar Code Scanning y Secret Scanning en GitHub?

Estas funciones solo aparecen disponibles cuando tu repositorio es público, así que el primer paso es revisar la visibilidad en la danger zone de los settings [2:00].

Una vez público, entra a Settings > Code security and analysis [2:30] y configura lo siguiente:

Localiza la sección Code scanning y selecciona CodeQL analysis.
Deja la configuración por defecto, donde GitHub detecta automáticamente el lenguaje del proyecto (en este ejemplo, C#).
Habilita CodeQL y confirma los criterios de búsqueda.
Baja a Secret scanning: viene activado por defecto, con un botón para deshabilitar.

¿Qué hace CodeQL exactamente?

CodeQL analiza el código fuente buscando patrones de vulnerabilidad. Trabaja en segundo plano cada vez que haces push, sin que tengas que ejecutarlo manualmente.

¿Cómo reacciona GitHub ante una API key filtrada?

Para probar la herramienta, basta con escribir en program.cs una línea como string stripeApiKey con un valor entre comillas simulando una credencial real [4:30]. Después aplicas la secuencia habitual:

git status para confirmar el cambio.
git add y git commit con un mensaje descriptivo.
git push para enviarlo al repositorio.

Al regresar al repositorio, aparece un círculo amarillo de pending mientras GitHub evalúa los cambios. Tras refrescar la página, la pestaña Security muestra un 1 en alertas. Y aquí viene lo interesante: dentro encuentras tres categorías de alertas, Dependabot, Code Scanning y Secret Scanning, y en esta última está la notificación de la llave detectada.

¿Qué hago si GitHub detecta un secreto filtrado? Rota la credencial en el servicio de origen, modifica tu código para usar variables de entorno y recuerda que borrar la línea no la elimina del historial de commits.

¿Cuáles son los pasos para mitigar la filtración?

GitHub recomienda cuatro pasos que aplican a casi cualquier secreto expuesto:

Contactar al proveedor (la cuenta de terceros) y rotar las credenciales.
Invalidar la llave anterior para que ya no funcione.
Modificar el código para mover el secreto a variables de entorno.
Confirmar que el flujo nuevo no vuelva a filtrar el dato en futuros commits.

¿Por qué Secret Scanning no detecta todos los secretos?

Aquí está el matiz que muchos pasan por alto. Cuando escribes algo evidente como stripeApiKey, GitHub lo identifica rápido por el patrón conocido. Pero si nombras la variable string testingConnection y pegas una cadena de conexión SQL real, la herramienta no genera ninguna alerta [9:00].

Después de esperar cuatro minutos para confirmar que el escaneo terminó, la única alerta visible sigue siendo la de Stripe. La cadena de conexión a SQL pasó desapercibida porque el nombre de la variable no coincidía con patrones reconocibles como sql connection o sql key.

La lección es clara: Secret Scanning ayuda, pero no es infalible. Detecta patrones bien documentados de proveedores conocidos, no cualquier credencial disfrazada con un nombre genérico.

¿Cuál es la mejor estrategia para proteger tus credenciales?

La frase que resume todo es simple: siempre será más fácil prevenir que lamentar. Las herramientas de escaneo son una segunda línea de defensa, no la primera.

Tu flujo ideal debe verse así:

Guarda credenciales en archivos .env o appsettings.json según tu lenguaje.
Añade esos archivos al gitignore para excluirlos del control de versiones.
Usa variables de entorno en tu código en lugar de valores hardcodeados.
Mantén Code Scanning y Secret Scanning activos como respaldo.

Si adoptas estas prácticas desde el inicio, las alertas de seguridad de GitHub serán algo que casi nunca verás. Y eso es exactamente lo que quieres, porque rotar llaves o cadenas de conexión en producción es un proceso complicado: tu producto rara vez es el único consumidor de esas credenciales, y cada cambio puede romper integraciones con otros servicios.

¿Ya configuraste Secret Scanning en tus repositorios? Cuéntame en los comentarios qué tipo de credenciales sueles manejar y cómo organizas tus variables de entorno.

Gabriel Obregón

Hace un año

🔐 Protección de información sensible en GitHub

🎯 Objetivo

Evitar que llaves de API, contraseñas o datos de conexión se suban al repositorio.

GitHub ofrece dos herramientas clave para reforzar la seguridad del código:

🔹 CodeQL → analiza el código y detecta vulnerabilidades.

🔹 Secret Scanning → identifica llaves o secretos expuestos.

⚙️ 1. Activación de CodeQL y Secret Scanning

🔓 Antes de comenzar

➡️ El repositorio debe ser público (algunas funciones no están disponibles en repos privados).

🚀 Pasos rápidos

🪄 1. Entra al repositorio → Settings

🪄 2. Ve a Code Security and Analysis

🪄 3. Activa CodeQL Analysis en Code Scanning

💡 GitHub detecta el lenguaje y analiza tu código automáticamente.

🪄 4. Comprueba que Secret Scanning esté habilitado

🔍 Suele venir activado por defecto y busca secretos en tu código.

🔍 2. Cómo probar Secret Scanning

🧪 Prueba práctica

1️⃣ Añade una cadena simulando una API key:

string stripeApiKey = "clave_sensible";

2️⃣ Sube el cambio al repositorio.

✅ GitHub debería generar una alerta de seguridad.

3️⃣ Prueba con una cadena más genérica:

string connectionString = "cadena_sensible"; ⚠️ Esta puede no detectarse.

💬 Conclusión: Secret Scanning es muy útil, pero no detecta todos los casos.

🚨 3. Qué hacer ante una alerta de seguridad

🧭 Guía de acción inmediata

🔁 1. Renueva las credenciales del servicio afectado.

🧹 2. Elimina la clave del historial de commits.

➡️ No basta con borrarla solo del archivo actual.

🗂️ 3. Usa archivos de configuración como .env o appsettings.json.

🚫 4. Exclúyelos con .gitignore para evitar nuevas filtraciones.

⚠️ 4. Limitaciones y mejores prácticas

🧠 Lo que debes recordar

🔸 CodeQL y Secret Scanning no detectan todos los secretos.

🔸 Son apoyo, no sustituto de una buena configuración.

🛠️ Buenas prácticas esenciales

✅ Configura correctamente .gitignore.

✅ Guarda secretos en archivos de entorno fuera del control de versiones.

✅ Supervisa con frecuencia la sección Security de GitHub.

Comentarios (29)29 comentarios

Juan Pablo Sanchez Parra

Pablo José Estrada Reyes

Isaías Chávez Martínez

Diego Andrés Lopez Rodriguez

Hace 2 años

Jhon Alejandro Ceballos Tobon

Jeferson Luna Jaramillo

Yorgen Omar Marciales Parada

Nahuel Caero

Sebastián Loría Ramírez

Hace 9 meses

Nicolás Ginar

Diego Arango

David Hernando Henao Marulanda

Anthony Hernando Rivera Escobar

Miguel Lozano

Hace 8 meses•editado

Mirta Astrid Salgado Hernández

Hace 8 meses

Raul Morales

Hace 4 meses

Carlos Axel Espinosa Ramirez

Albert Jose Salas Yustiz

Samuel Steven Bernal Martínez

Ywikeyrun Miguel zalabata

Toni Alexander Ramírez Abrego

Hace 6 meses

Paul Andrés Andia Frias

Hace un mes•editado

Jose Velasquez

Hace un mes

Daniel Vergel

Hace 2 meses

Fundamentos de Git y control de versiones

Control de Versiones con Git y GitHub: De Básico a Avanzado

Fundamentos de Git: Configuración y Comandos Básicos

Control de Versiones con Git: Comandos Básicos y Flujo de Trabajo

Gestión de ramas en Git: creación, fusión y eliminación eficiente

Git reset vs revert para deshacer commits

Git Tag y Checkout sin romper tu proyecto

Cómo resolver conflictos de merge en Git

Uso de Git en Visual Studio Code

Introducción a GitHub

Uso de GitHub para Colaboración y Desarrollo Seguro

Cómo crear y proteger tu cuenta de GitHub

Proceso de Trabajo con Git y GitHub: Creación y Revisión de Repositorios

Crea y clona tu primer repo en GitHub

Precios y Planes de Productos de Github

Configuración de SSH en GitHub para Windows, Linux y Mac

Uso de Forks y Estrellas en Repositorios de GitHub

Uso de git pull, git push y git fetch en repositorios GitHub

Plantillas de issues en GitHub paso a paso

Uso de Pull Requests en GitHub para Colaboración Efectiva

Herramientas de colaboración en GitHub

GitHub Projects para gestionar tareas en equipo

Automatiza GitHub Projects con workflows

Recursos Esenciales de Markdown para Documentación Efectiva

Creación de una Portada de Perfil en GitHub con Markdown

Creación y Gestión de Wikis en GitHub

Uso de GitHub Gist para Compartir y Revisar Código Colaborativo

Creación y Publicación de Sitios Web con GitHub Pages

GitHub Codespaces

Creación y Gestión de GitHub Codespaces en la Nube

Plantillas de Codespaces con Django y devcontainer

Pair programming con Live Share en Codespaces

Uso del Editor Web de GitHub para Edición Rápida de Archivos

Seguridad y buenas prácticas en GitHub

Gestión de GitHub Tokens para Acceso Seguro a Repositorios

Secret Scanning en GitHub y sus límites

Gestión de Seguridad de Paquetes con Dependabot en Proyectos .NET

Repositorios privados y .gitignore en GitHub

Administración de GitHub

Creación y gestión de repositorios en GitHub

Automatización de GitHub Actions para Actualizar Perfil

Gestiona GitHub desde tu terminal con gh

Gestión de Cambios con Pull Requests

Configuración de Proyectos de Software con Git y GitHub

Cómo resolver conflictos de merge en VS Code

Estrategias de Fusión de Ramas en Git

GitHub Releases

Creación de Releases en Github para Desarrolladores de Software

Instala tu paquete pip desde GitHub

Cierre

Pro tips ocultos de GitHub para trabajar mejor

Secret Scanning en GitHub y sus límites