Nivel 2 · 2C Claves filtradas · Lección 2 de 2
Se filtró una clave: qué hacer
Cuando una clave se filtra, el orden de las acciones importa. Primero se corta el acceso del atacante: revocá (anulá) la clave filtrada en el servicio. Después se vuelve a la normalidad: creá una clave nueva y guardala en un lugar seguro, fuera del código.
Luego se mide el daño: revisá en el servicio si hubo movimientos raros con la clave vieja. Y al final se evita repetir el error: limpiá el código y agregá el archivo de secretos al .gitignore.
Palabras que conviene tener claras
Token: clave que da acceso a un servicio, muchas veces temporal. Variable de entorno: valor guardado fuera del código y entregado al programa cuando arranca. .gitignore: lista de archivos que git nunca debe subir. Revocar: anular una clave para que deje de funcionar.
Y una regla más: un dato secreto no viaja nunca en la dirección. En https://app.com/entrar?usuario=ana&clave=Gato2026, la clave queda en el historial del navegador, en los registros del servidor y en cualquier enlace que se comparta. Las claves de API van en un encabezado del pedido o en el cuerpo, no en la dirección.
Para ir más a fondo
Detectar antes de que pase
Existen herramientas que escanean tu código buscando claves antes de subirlo (se llaman "secret scanners") y servicios que avisan si una clave tuya apareció en un repositorio público. Activarlas es barato y evita el susto.
Preguntas de repaso
¿Qué significa "revocar" una clave?
Respuesta: Anularla para que deje de funcionar. Revocar corta el acceso de quien la tenga, aunque la haya copiado. Es el primer paso ante una filtración.
Se filtró una clave de pagos. ¿Cuál es el orden correcto?
Respuesta: Revocar la clave, crear una nueva guardada fuera del código, revisar movimientos y prevenir. Primero se corta el acceso, después se vuelve a la normalidad con una clave nueva y al final se revisa y se previene.
La dirección es https://api.com/datos?api_key=sk_live_123. ¿Qué problema tiene?
Respuesta: La clave viaja en la dirección: queda en historiales y registros. Las direcciones se guardan y se comparten. Los secretos van en un encabezado del pedido, no en la dirección.