Los secretos no caducan cuando los eliminas: cómo limpiar el historial de Git

En resumen: Una clave de API filtrada y enviada a un repositorio permanece en el historial mucho después de eliminar el archivo. La detección, la rotación y la reescritura del historial son imprescindibles; eliminarla por sí sola crea una falsa sensación de seguridad.

La trampa de eliminar y confirmar

Cuando un desarrollador detecta una credencial incluida en una confirmación, su instinto es eliminar la línea y enviar una corrección. Sin embargo, el secreto sigue en el historial de Git y cualquiera con acceso para clonar el repositorio puede recuperarlo. Si el repositorio alguna vez fue público o se replicó, debe asumirse que el secreto quedó comprometido en el momento en que se envió.

La única suposición segura es que un secreto filtrado sigue activo hasta que se rota.

La secuencia correcta de remediación

• Rota la credencial de inmediato: trátala como comprometida, no solo como expuesta.
• Revócala y audita cualquier uso de la clave filtrada durante el periodo de exposición.
• Reescribe el historial para eliminar el secreto de todas las confirmaciones accesibles y fuerza la actualización de las réplicas.
• Añade análisis de secretos antes de las confirmaciones y en CI/CD para detectar el próximo antes de que se incorpore.

La detección debe ser continua

Las filtraciones de secretos no son una limpieza puntual, sino un problema de detección constante. Analizar únicamente en el momento de la confirmación no detecta los secretos enviados por otras vías, y analizar solo el historial no detecta el error de mañana. Ambos enfoques son importantes.

El análisis de KENSAI muestra las credenciales expuestas junto con el contexto necesario para priorizar su rotación: qué clave es, dónde resulta accesible y qué tan urgente es la exposición.

Cómo se ve una buena higiene en la práctica

Trata cualquier secreto que haya pasado alguna vez por un repositorio como si ya estuviera expuesto y diseña los sistemas para que puedan resistir esa exposición. Las credenciales de corta duración y rotación automática convierten una clave filtrada en un problema que caduca por sí solo, en lugar de una puerta abierta que permanece así durante meses.

Anticipa la detección mediante enlaces previos a la confirmación y a la recepción que bloqueen un secreto antes de que llegue a registrarse, y combínalos con análisis del lado del servidor para detectar lo que consiga pasar. El objetivo no es una limpieza puntual, sino un control permanente que haga que las nuevas filtraciones sean poco frecuentes, evidentes y rápidas de revocar.

Conclusión

Eliminar un secreto filtrado es el paso menos importante. Rótalo primero, depura el historial después e implementa una detección continua para que los periodos de exposición se reduzcan en lugar de repetirse.