Los secretos no caducan cuando los eliminas: cómo limpiar el historial de Git

En resumen: Una clave de API filtrada y añadida a un repositorio permanece en el historial mucho después de eliminar el archivo. La detección, la rotación y la reescritura del historial son imprescindibles; eliminarla por sí sola genera una falsa sensación de seguridad.

La trampa de eliminar y confirmar los cambios

Cuando un desarrollador detecta una credencial incluida en una confirmación, su primer impulso es eliminar la línea y publicar una corrección. Sin embargo, el secreto sigue en el historial de Git y cualquiera con acceso para clonar el repositorio puede recuperarlo. Si el repositorio fue público o se replicó en algún momento, debes dar por hecho que el secreto quedó comprometido desde el instante en que se publicó.

La única suposición segura es que un secreto filtrado sigue activo hasta que se rota.

La secuencia de corrección adecuada

• Rota la credencial inmediatamente: trátala como vulnerada, no solo como expuesta.
• Revócala y audita cualquier uso de la clave filtrada durante el periodo de exposición.
• Reescribe el historial para eliminar el secreto de todas las confirmaciones accesibles y fuerza la actualización de las réplicas.
• Añade análisis de secretos antes de cada confirmación y en CI para detectar el siguiente antes de que se incorpore.

La detección debe ser continua

Las filtraciones de secretos no se resuelven con una limpieza puntual; constituyen un problema de detección permanente. Analizar únicamente en el momento de confirmar los cambios no detecta los secretos publicados por otras vías, y analizar solo el historial no detecta el error de mañana. Ambos enfoques son importantes.

El análisis de KENSAI identifica credenciales expuestas y proporciona el contexto necesario para priorizar su rotación: qué clave es, dónde puede encontrarse y cuán urgente es la exposición.

Cómo se aplica una buena higiene en la práctica

Trata cualquier secreto que haya pasado por un repositorio como si ya estuviera expuesto y diseña tus sistemas para que puedan resistir esa exposición. Las credenciales de corta duración y rotación automática convierten una clave filtrada en un problema que caduca por sí solo, en lugar de una puerta abierta durante meses.

Adelanta la detección mediante enlaces de preconfirmación y prerecepción que bloqueen los secretos antes de que lleguen a registrarse, y combínalos con análisis del lado del servidor para detectar lo que consiga pasar. El objetivo no es realizar una limpieza puntual, sino establecer un control permanente que haga que las nuevas filtraciones sean poco frecuentes, evidentes y rápidas de revocar.

Conclusión

Eliminar un secreto filtrado es el paso menos importante. Rótalo primero, depura el historial después e implementa una detección continua para que los periodos de exposición se reduzcan en lugar de repetirse.