Respuesta ante credenciales filtradas
Genera un runbook de respuesta a incidentes específico del proveedor para una clave de AWS, una clave de API, un token o una cadena de conexión filtrados.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un secreto filtrado es un incidente contrarreloj, y el instinto de borrar la clave de inmediato suele ser el primer paso equivocado. Elige el tipo de credencial (clave de acceso de AWS, clave de cuenta de servicio de GCP, secreto de cliente de Azure, token de GitHub, clave de Stripe, clave de API de OpenAI/Anthropic, cadena de conexión de base de datos o clave de API genérica) y, si quieres, cómo quedó expuesta, y la herramienta genera una lista ordenada y específica del proveedor en seis fases: contener, rotar de forma segura, investigar el abuso, buscar persistencia, notificar y prevenir mediante un análisis posterior. La fase de rotación impone la regla de oro: genera la credencial nueva, verifica que funciona, actualiza a todos los consumidores y SOLO ENTONCES revoca la antigua; revocar antes de verificar convierte una filtración en una caída del servicio. Cada paso de investigación nombra el registro real que debes revisar: AWS CloudTrail, GCP Cloud Audit Logs, el registro de auditoría o de seguridad de GitHub, el registro de eventos de Stripe, el panel de uso del proveedor de LLM o los registros de auditoría de tu base de datos. Sigue el progreso con casillas y copia o descarga todo como runbook de texto plano. Nunca escribes el secreto y no se sube, registra ni envía nada. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Elige el tipo de credencial filtrada y, si quieres, cómo quedó expuesta.
- Sigue la lista ordenada: contener, rotar de forma segura, investigar el abuso, buscar persistencia, notificar y prevenir.
- Rota en el orden nuevo → verificar → actualizar → revocar, nunca revocando antes de verificar.
- Marca el progreso y copia o descarga el runbook en texto plano.
Preguntas frecuentes
Se me ha filtrado una clave de acceso de AWS: ¿qué hago primero?
No la borres por pánico. Primero pon la clave expuesta en estado Inactive en la consola de IAM (o con aws iam update-access-key --status Inactive) para conservarla con fines forenses pero que ya no pueda usarse. Si AWS ya te ha enviado un correo o ha bloqueado la cuenta, probablemente haya adjuntado su política administrada AWSCompromisedKeyQuarantineV3: déjala puesta. Si ves abuso activo, como miles de llamadas a la API bloqueadas o instancias EC2 inesperadas, adjunta una política Deny explícita para limitar el radio de impacto. Después rota: un usuario de IAM puede tener dos claves de acceso a la vez, así que crea una segunda, despliégala y verifícala en todas partes, y solo entonces borra la antigua. Por último, revisa CloudTrail en todas las regiones y Cost Explorer en busca de un pico de gasto, porque las claves de AWS expuestas suelen usarse para minar criptomonedas a los pocos minutos de una filtración pública.
¿De verdad tengo que rotar una clave que solo se filtró en un log privado o en un servicio antiguo?
Sí. Una credencial activa es una credencial activa, aparezca donde aparezca y por oscuro que sea el servicio. Si llegó a los logs de la aplicación o de CI, asume que todo el que puede leer esos logs la tiene. Si pertenecía a un servicio obsoleto, «ya no lo usamos» no es contención: la clave sigue funcionando hasta que la revoques. La única suposición segura tras cualquier exposición es que el secreto está comprometido, así que revócalo y sustitúyelo. Rotar una clave que quizá no hacía falta cuesta minutos; dejar viva una clave filtrada es un incidente.
¿Cuál es el orden seguro para rotar una credencial?
Genera primero la credencial nueva, despliégala en todos los consumidores, haz una llamada autenticada real para confirmar que funciona y SOLO ENTONCES revoca o borra la antigua. Revocar antes de verificar la sustituta es la forma más común de que una filtración de credenciales se convierta en una caída autoinfligida: la clave antigua muere, la nueva estaba mal configurada y producción cae. Cuando el proveedor permite dos credenciales a la vez (claves de IAM de AWS, el rolado de una clave de Stripe, una segunda clave de GCP), aprovéchalo para que la rotación no tenga tiempo de inactividad. Para una contraseña de base de datos compartida, escalona el cambio para no cortar a todos los consumidores en el mismo instante.
¿Cómo sé si una clave filtrada llegó a usarse de forma abusiva?
Lee los propios registros de actividad y auditoría del proveedor desde el momento de la exposición y compáralos con tu línea base normal. En AWS, el historial de eventos de CloudTrail (filtrado por el ID de la clave de acceso) más los hallazgos de GuardDuty y Cost Explorer; en GCP, Cloud Audit Logs y los informes de facturación; en Azure/Entra, los registros de inicio de sesión y de auditoría; en GitHub, el registro de auditoría de la organización o el registro de seguridad personal; en Stripe, Developers → Events y los registros de peticiones; en un proveedor de LLM, el panel de uso; en una base de datos, sus registros de auditoría (pgAudit, el registro de auditoría de MySQL o la auditoría de bases de datos del proveedor de nube). Buscas llamadas que no hiciste, recursos nuevos, picos de gasto y señales de lecturas masivas de datos.
Tras contener y rotar, ¿qué persistencia debo buscar?
Los atacantes que consiguen una credencial válida suelen dejarse una puerta trasera antes de que lo notes. En todos los proveedores, busca: usuarios, roles y claves de acceso nuevos (una segunda clave de AWS o un usuario de IAM administrador nuevo es lo clásico); cuentas de servicio o credenciales de aplicación nuevas; permisos de OAuth o de API recién consentidos; claves SSH, GPG o de despliegue nuevas y aplicaciones autorizadas en GitHub; webhooks nuevos o modificados; datos de pago o bancarios cambiados en un proveedor de pagos; usuarios, permisos, triggers o tareas programadas nuevos en la base de datos; y recursos creados en regiones o proyectos que nunca usas. Elimina todo lo que no hayas creado, escribe un breve análisis posterior y añade un control concreto (escaneo de secretos con protección en el push, un gestor de secretos, credenciales de corta duración, mínimo privilegio) para que el mismo camino no vuelva a filtrar lo mismo.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.