Subiste por accidente una API key a un repo público de GitHub y luego eliminaste el commit. ¿Qué debes hacer?
Opciones
- Nada, porque el commit ya se eliminó
- Revocar y rotar la clave ahora; asumir que se filtró (Opción correcta)
- Hacer privado todo el repositorio de inmediato
- Renombrar la variable que guarda la clave en el código
Respuesta
Revoca y rota la clave de inmediato; asume que está comprometida, y luego limpia el historial y añade secret scanning
Por qué
Los bots escanean GitHub en busca de secretos en minutos, y los commits eliminados pueden seguir existiendo en forks, cachés y clones. Considera robada la clave.
Primero revócala y crea una nueva (rota), luego revisa los logs en busca de abusos, limpia el historial y añade un escáner de secretos (hook pre-commit, GitHub secret scanning).
Guarda los secretos en variables de entorno o en un gestor de secretos, nunca en el código.
Recuerda
Secreto filtrado → revocar y rotar de inmediato.