Escáner de secretos
Pega código, configuración, un .env o logs y detecta credenciales filtradas: claves de AWS, tokens de GitHub y Stripe, claves de OpenAI, Anthropic y Google, claves privadas y JWT.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Pega código, un archivo de configuración, un .env, un diff o la salida de un log y detecta secretos filtrados: claves de acceso y claves secretas de AWS, tokens de GitHub, Stripe, Slack, SendGrid y Twilio, claves de API de OpenAI, Anthropic y Google, bloques de clave privada PEM, JWT y credenciales codificadas de alta entropía en asignaciones genéricas de api_key, secret, password o token. Cada hallazgo muestra el tipo de credencial, el número de línea, una vista previa enmascarada (el secreto completo nunca se muestra), un grado de severidad y una corrección concreta, con una checklist de rotación que verifica antes de revocar. Una comprobación de entropía de Shannon en la regla genérica descarta lo que obviamente no es un secreto, como password = "password" o valores de ejemplo, y reduce los falsos positivos. Funciona 100 % en el lado del cliente: el texto pegado se analiza con expresiones regulares en tu navegador y nunca se sube, se registra ni se almacena. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Pega el texto sospechoso: código, configuración, un .env, un diff o la salida de un log.
- Revisa cada hallazgo: tipo de credencial, número de línea, vista previa enmascarada y severidad (crítica, alta o media).
- Copia el informe enmascarado si necesitas compartir dónde está la fuga sin volver a filtrarla.
- Rota cada secreto en el orden seguro: genera, verifica, cambia todos los consumidores y solo entonces revoca.
Preguntas frecuentes
¿El escáner de secretos envía mi código a algún sitio?
No. Todo el escaneo se ejecuta en tu navegador con expresiones regulares de JavaScript. Nada de lo que pegas se sube a un servidor, se escribe en una base de datos ni se registra: solo existe en la pestaña actual del navegador y se descarta cuando borras la entrada o cierras la página. Precisamente por eso es seguro pegar un archivo .env real, una configuración de producción o una línea de log: el texto sensible nunca sale de tu equipo.
¿Qué tipos de secretos detecta?
Reconoce formatos de credenciales conocidos: ID de clave de acceso de AWS (AKIA/ASIA) y claves secretas de acceso de AWS de 40 caracteres según el contexto; tokens de GitHub (ghp_, gho_, ghs_, ghr_, github_pat_); claves secretas y restringidas de Stripe (sk_live_, sk_test_, rk_live_); claves de OpenAI (sk-... y sk-proj-); claves de Anthropic (sk-ant-); claves de API de Google (AIza...); tokens de Slack (xoxb/xoxp/xoxa/xoxr/xoxs-); claves de SendGrid (SG.) y Twilio (SK...); bloques de clave privada PEM (-----BEGIN ... PRIVATE KEY-----); y JSON Web Tokens (eyJ... cabecera.payload.firma). También detecta asignaciones genéricas codificadas a variables api_key, secret, password o token cuando el valor tiene entropía suficiente para parecer real.
¿Por qué enmascara los secretos en lugar de mostrarlos?
Mostrar un secreto completo en los resultados volvería a exponerlo: en una captura de pantalla, en una pantalla compartida o en un informe copiado. El escáner muestra solo un prefijo corto y los dos últimos caracteres (lo suficiente para localizar el valor en tu archivo) y sustituye el centro por puntos. El botón «copiar informe» copia solo los hallazgos enmascarados, para que puedas compartir dónde hay una fuga sin volver a filtrarla.
¿Para qué sirve la comprobación de entropía?
Las reglas genéricas que buscan api_key = "..." o password: "..." marcarían, si no, ejemplos inofensivos como password = "password" o token = "changeme". El escáner calcula la entropía de Shannon (aleatoriedad por carácter) de cada candidato genérico y exige un nivel mínimo, además de una mezcla de clases de caracteres, antes de notificarlo. Las credenciales reales tienen alta entropía; las palabras de diccionario y los valores de ejemplo, no. Los detectores de formato específico (AWS, Stripe, GitHub, etc.) no lo necesitan porque su forma ya es distintiva.
He encontrado una clave filtrada, ¿qué hago?
Rótala, y rótala en el orden seguro. Genera primero la credencial nueva, verifica que funciona de verdad con una llamada autenticada real, cambia todos los consumidores al nuevo valor y solo entonces revoca la antigua. Revocar antes de comprobar la sustituta es como los equipos se quedan fuera de sus propios sistemas. Si el secreto se subió a git, elimínalo también del historial (si no, sigue en los commits antiguos) y revisa el registro de auditoría del proveedor en busca de cualquier uso que no hayas hecho tú: una clave filtrada debe tratarse como ya usada.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.