Escáner de secretos filtrados

¿Quieres vigilarlo sin parar? Vigílalo gratis con myeventwatch — alertas de caducidad y caídas, sin tarjeta.

Qué cuenta como expuesto — y qué no

El escáner sondea una lista publicada de rutas conocidas —/.env y sus variantes habituales, /.git/HEAD y /.git/config, archivos de configuración, archivos de copia y archivos de claves— con simples peticiones GET públicas, exactamente las que podría hacer un atacante, un buscador o un visitante curioso. Una ruta solo cuenta como expuesta cuando el contenido de la respuesta coincide con lo que ese archivo debería ser: un archivo env debe poder analizarse como líneas clave–valor, un HEAD de Git debe parecer una referencia de Git. Muchos servidores responden 200 a cada ruta —respaldo de aplicaciones de una página, páginas de error personalizadas, reescrituras comodín— y un 200 con el HTML de tu portada no es una filtración. Esas rutas se listan aparte en el resultado como respondieron pero sin confirmar, para que juzgues tú mismo; esta herramienta nunca llama filtración a un 200 sin confirmar, y ningún escáner que uses debería hacerlo.

Además de los sondeos de archivos, el escáner obtiene la propia página y hasta unas quince de sus paquetes JavaScript y los busca en forma de secretos conocidos: identificadores de claves de acceso a la nube, cabeceras de clave privada, asignaciones genéricas de claves API y tokens, cadenas de conexión a bases de datos y patrones similares de alta señal. El código del lado del cliente es público por definición —todo lo que se envía a un navegador puede leerlo cada visitante—, así que una credencial real hallada en un paquete está expuesta aunque ningún archivo estuviera mal configurado. Los hallazgos se informan por tipo, por archivo de origen y por número de apariciones, con el valor enmascarado hasta un máximo de sus cuatro primeros caracteres: suficiente para que reconozcas qué clave es, nunca suficiente para que quien lea el informe la use. El secreto completo nunca se obtiene, se almacena ni se muestra en este informe.

Límites, dichos con claridad

Esto es un sondeo público y de solo lectura de rutas conocidas, y sus límites forman parte del resultado. Solo pide las rutas de la lista publicada: un secreto en un archivo con un nombre inusual no será encontrado. Analiza la página de aterrizaje y unos quince paquetes de scripts, no cada recurso de un sitio grande, y no inicia sesión, no rastrea tras una autenticación, no fuerza nombres de archivo ni prueba nada que no sea ya alcanzable con un GET sin autenticar. Los escaneos están limitados a 5 por hora y visitante y los resultados se guardan en caché 10 minutos, así que un nuevo escaneo dentro de esa ventana puede mostrar el veredicto en caché. Un escaneo también tiene un presupuesto de tiempo: cuando un objetivo lento lo agota, el resultado se marca como parcial y lo dice — trata un resultado limpio parcial como «no comprobado del todo», no como «limpio».

Si el escaneo encuentra algo, el orden del trabajo importa más que la rapidez al borrar. Rota primero la credencial —revoca la clave expuesta y emite una nueva— porque puede haber ya copias en cachés, archivos y manos ajenas; borrar el archivo detiene las descargas nuevas pero no hace nada con una clave que ya salió. Después retira o bloquea el archivo en el servidor, purga las cachés de CDN y proxies que puedan guardar una copia y revisa tus registros de acceso en busca de peticiones anteriores a la misma ruta. El artículo complementario, archivos .env expuestos y claves filtradas, recorre el manual de la primera hora que usan los atacantes y la secuencia completa de recuperación en orden.

Las comprobaciones vecinas completan el panorama: la auditoría de scripts de terceros cubre los scripts externos que cargan tus páginas —un riesgo de cadena de suministro distinto del de tus propios archivos filtrados— y la comprobación de cabeceras de seguridad califica las protecciones de navegador que llevan tus respuestas. Una nota sobre el método: un resultado limpio significa que ninguna de las rutas sondeadas respondió con contenido coincidente y que ningún patrón de secreto conocido apareció en los archivos analizados, en el momento del escaneo y desde la posición de red del comprobador. Es evidencia sobre esas rutas y archivos, no una garantía sobre todo el servidor: mantén los archivos fuera de la raíz web desde el principio y vuelve a escanear tras cada cambio de despliegue que toque lo que tu servidor publica.

La lista de sondeo, publicada

Preguntas frecuentes