Cuadro de mando de la vida media de las credenciales
Una autoevaluación de 8 preguntas: un gusano tiene tu token de npm. ¿Cuánto tiempo le sigue sirviendo?
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un gusano robó tu token de npm hace veinte minutos y ya está publicando. Aquí no se pregunta si lo habrías detectado: en el compromiso de keyv de agosto de 2026, los paquetes maliciosos estaban correctamente firmados y pasaban las comprobaciones de procedencia, así que la detección no fue el factor decisivo. Lo que decidió el radio de impacto de cada víctima fue cuánto tiempo siguió siendo útil una credencial robada. Son ocho preguntas, y todas parten de que el token ya se ha perdido. Puntúan la vida de las credenciales de publicación y de CI, las claves de cloud, la velocidad de revocación, el radio de impacto, la ejecución en tiempo de instalación, la confianza en la configuración de agentes y editores y la detección del uso. Se escribió tras el compromiso de keyv y cacheable, en el que las firmas válidas y la procedencia correcta no detuvieron nada y la vida de las credenciales lo decidió todo. Es una autoevaluación orientativa, no una auditoría ni una certificación. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Parte de que tu token ya lo tiene un atacante.
- Responde las ocho preguntas, de las credenciales de publicación a la detección del uso.
- Revisa tu puntuación por dominio para ver qué credenciales seguirían siendo útiles más tiempo.
- Empieza por acortar la vida de las credenciales y por poder revocarlas en minutos.
Preguntas frecuentes
¿Qué mide este cuadro de mando?
Cuánto tiempo seguiría siendo útil una credencial robada. Son ocho preguntas, y todas parten de que el token ya se ha perdido. Cubren ocho dominios: credenciales de publicación, credenciales de CI, claves de cloud, velocidad de revocación, radio de impacto, ejecución en tiempo de instalación, confianza en agentes y editores, y detección del uso.
¿Por qué no pregunta si habría detectado el ataque?
Porque en el compromiso de keyv de agosto de 2026 los paquetes maliciosos estaban correctamente firmados y pasaban las comprobaciones de procedencia, así que la detección no fue el factor decisivo. Lo que decidió el radio de impacto de cada víctima fue cuánto tiempo siguió siendo útil una credencial robada.
¿Qué diferencia hay entre rotar y revocar?
Rotar emite una credencial nueva. Revocar detiene la antigua. Solo lo segundo ayuda en mitad de un incidente.
¿Es una auditoría?
No. Es una autoevaluación orientativa, no una auditoría ni una certificación. Está ponderada hacia las credenciales de publicación de paquetes y de CI porque ese es el camino que sigue este tipo de ataque; no es una revisión completa de la gestión de identidades y accesos.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.