Revisión de accesos de una organización de GitHub
Revisa los propietarios, el SSO, la higiene de tokens y las bajas de tu organización de GitHub frente a los controles que limitan el compromiso de una identidad.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El radio de impacto de una identidad de GitHub comprometida se fija mucho antes del compromiso: por cuántos propietarios tienes, si el SSO y el 2FA son obligatorios, con qué rigor se gobiernan los tokens y las aplicaciones de terceros y si el acceso termina cuando la gente se va. Rellenas una hoja breve (número de propietarios y de miembros) y recorres un checklist puntuado de 14 controles en cuatro áreas (propietarios y roles privilegiados, autenticación y SSO, tokens y acceso de terceros, y ciclo de vida y bajas), cada uno con su gravedad y una corrección concreta. La hoja señala un grupo de propietarios demasiado grande, porque cada propietario de la organización es un riesgo de toma total si le roban la credencial. Los controles etiquetados «LiteLLM» limitan cada uno hasta dónde puede extenderse el compromiso de una identidad de la organización: pocos propietarios, SSO obligatorio, autorización de credenciales, revisión de tokens inactivos y restricción de aplicaciones OAuth; el compromiso de LiteLLM de octubre de 2026, según se informó públicamente, pivotó a través de una identidad de propietario de la organización. Marcas cada control como Sí, Parcial o No y obtienes una puntuación ponderada de 0 a 100, las brechas priorizadas y un informe exportable. Funciona íntegramente en el lado del cliente: no se lee ni se sube ningún dato de la organización. PlayCISO no está afiliado a LiteLLM ni a GitHub. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Rellena la hoja con el número de propietarios y de miembros de la organización.
- Marca cada uno de los 14 controles como Sí, Parcial o No.
- Revisa la puntuación de 0 a 100, el aviso sobre el número de propietarios y las brechas priorizadas.
- Exporta el informe y repite la revisión de forma periódica para comparar.
Preguntas frecuentes
¿Cuántos propietarios de la organización son demasiados?
No hay una cifra única, pero cada propietario es un riesgo permanente de toma de la organización: una credencial de propietario puede cambiar la configuración de seguridad, añadir o eliminar miembros y llegar a todos los repositorios. La hoja señala más de cinco propietarios y una proporción alta de propietarios frente a miembros, porque la respuesta práctica es «el menor número de personas que de verdad lo necesitan, revisado con una periodicidad». La mayoría de las organizaciones pueden funcionar con un puñado de propietarios con nombre y dar a todos los demás el rol mínimo que cubra su trabajo.
¿Por qué importan tanto el SSO obligatorio y la autorización de credenciales?
Imponer el SSO con SAML vincula el acceso a la organización con tu proveedor de identidad, así que cuando alguien se desactiva de forma centralizada, su acceso y sus sesiones de GitHub quedan gobernados por ello. La autorización de credenciales va más allá: con SSO, cada token de acceso personal y cada clave SSH debe autorizarse explícitamente para tocar los recursos de la organización, y puedes revocar esa autorización. Juntos reducen el conjunto de credenciales que pueden llegar a tu organización y te dan un interruptor central de corte, justo lo que quieres cuando una identidad se ve comprometida.
¿Qué debe buscar una revisión de tokens inactivos?
Tokens de acceso personal, claves de despliegue y tokens de aplicaciones que no se han usado recientemente, tokens sin caducidad y tokens con un alcance mucho mayor del que requiere su uso. Cada token ocioso es alcance que un atacante hereda gratis si se filtra. Revoca lo que no se usa, fija caducidades para que los tokens expiren solos y prefiere los tokens de grano fino o las GitHub Apps a los PAT clásicos amplios.
¿Qué relación tiene con el incidente de LiteLLM?
El compromiso de LiteLLM de octubre de 2026, según se informó públicamente, pivotó a través de una identidad de propietario de la organización. Una postura de acceso estricta limita ese radio de impacto: menos propietarios significa menos cuentas con capacidad de toma que robar; el SSO obligatorio y la autorización de credenciales impiden que un token suelto actúe en silencio sobre la organización; y la revisión de tokens inactivos y de aplicaciones OAuth elimina alcance permanente antes de que se abuse de él. Nada de esto impide que se filtre una credencial, pero decide si una identidad filtrada es un problema contenido o uno de toda la organización. Esta herramienta menciona un incidente real y publicado como contexto y no está afiliada a LiteLLM ni a GitHub.
¿Sale de mi navegador algo de lo que introduzco?
No. La hoja y el checklist se puntúan íntegramente en el lado del cliente. No se lee nada de GitHub ni se sube nada; la única salida es el informe que decidas copiar o descargar.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.