Analizador de alcances de tokens de GitHub
Elige un tipo de token de GitHub, activa sus alcances y ve el radio de impacto si se filtra, si el 2FA lo detiene (no lo hace) y la alternativa de mínimo privilegio.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
No todas las credenciales de GitHub son iguales. Eliges un tipo de token (PAT clásico, PAT de grano fino, app OAuth, instalación de una GitHub App, GITHUB_TOKEN de Actions u OAuth de gh CLI), activas sus alcances y ves qué podría hacer un atacante si el token se filtrara, con una calificación de riesgo y una nota de radio de impacto en lenguaje claro para cada alcance, basadas en la documentación de alcances y permisos de GitHub. También ves si el 2FA o el «sudo mode» interactivo se interponen entre un token robado y una acción sensible: para todos los tipos la respuesta es «no», porque el segundo factor protege la sesión de inicio, no las llamadas a la API con token. La herramienta recoge la lección de LiteLLM: según se informó públicamente, en el compromiso de octubre de 2026 un token OAuth de gh CLI de un propietario de la organización, no sujeto a reautenticación, permitió actuar con plena autoridad sin ningún aviso de segundo factor. Nunca introduces un token real: todo se ejecuta en tu navegador como explicativo estático, con un resumen que puedes copiar. Es una herramienta Pro.
- Elige el tipo de token: PAT clásico, PAT de grano fino, app OAuth, instalación de GitHub App, GITHUB_TOKEN de Actions u OAuth de gh CLI.
- Activa los alcances que tiene y lee la calificación de riesgo y el radio de impacto de cada uno.
- Comprueba si el 2FA o el step-up de sudo se interpondrían ante un token robado.
- Revisa la alternativa de mínimo privilegio y copia el resumen.
Preguntas frecuentes
¿El 2FA protege un token robado?
No. La autenticación de dos factores y el «sudo mode» interactivo de GitHub protegen la sesión en la interfaz web: vuelven a pedir confirmación a una persona antes de las acciones sensibles en el navegador. Un token (PAT, OAuth, de instalación, GITHUB_TOKEN o de gh CLI) autentica directamente las llamadas a la API y nunca dispara esa verificación adicional. Cuando un atacante tiene un token válido, el segundo factor ya ha quedado atrás. Por eso la higiene de tokens y el mínimo privilegio importan más que el 2FA para las credenciales de automatización.
¿Por qué se destaca el token OAuth de gh CLI?
Porque es amplio y, a la vez, no está protegido por la verificación adicional. gh auth login genera un token OAuth con alcances amplios (repo, read:org, workflow, gist y más) y lo guarda en la máquina del desarrollador. No está sujeto a la reautenticación sudo / 2FA que la interfaz web aplica a las acciones sensibles, así que un atacante que lo robe puede hacer operaciones administrativas, hasta acciones de propietario de la organización si ese usuario lo es, sin ningún aviso. En el compromiso de LiteLLM de octubre de 2026, según se informó públicamente, un token de gh CLI de un propietario de la organización fue justo el punto de apoyo que permitió exfiltrar secretos de CI y los pasos de publicación y encubrimiento.
¿Qué diferencia hay entre un PAT clásico y uno de grano fino?
Los alcances de un PAT clásico abarcan toda la cuenta: el alcance repo da lectura y escritura a todos los repositorios privados a los que llega el usuario, no a uno. Un PAT de grano fino se limita a repositorios seleccionados (o a una organización) con permisos de lectura o escritura por recurso, así que una filtración expone solo esos repositorios y permisos. Los tokens de grano fino, o una GitHub App, son la opción de mínimo privilegio para la mayoría de las automatizaciones.
¿Qué tipo de token debería usar la automatización?
Para automatización de servidor a servidor, un token de instalación de una GitHub App suele ser lo mejor: dura poco (alrededor de una hora), se limita a los repositorios donde está instalada la App y a los permisos que la App declara. La clave privada de la App pasa a ser el secreto que de verdad hay que proteger. Dentro de un workflow, fija el GITHUB_TOKEN al mínimo privilegio (contents: read) en lugar de dejar el valor por defecto de escritura total.
¿Se envía algún token a GitHub o a vosotros?
No. Nunca introduces un token real: seleccionas un tipo y activas alcances. La herramienta es un explicativo estático que se ejecuta por completo en tu navegador y no hace llamadas de red.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.