Acerca de los patrones de secret scanning
GitHub mantiene estos conjuntos diferentes de patrones de secret scanning:
-
Patrones de asociados. Se usan para detectar posibles secretos en todos los repositorios públicos. Para más información, consulta "Secretos admitidos para alertas de asociados".
-
Patrones de alerta de usuario. Se usa para detectar posibles secretos en repositorios públicos con alertas de examen de secretos para usuarios habilitado. Para más información, consulta "Secretos admitidos para alertas de usuario".
Los propietarios de repositorios públicos, así como las organizaciones que usan GitHub Enterprise Cloud conGitHub Advanced Security, pueden habilitar alertas de examen de secretos para usuarios en sus repositorios. Para más información sobre estos patrones, consulta la sección "Secretos admitidos para alertas de usuario" a continuación.
Si cree que secret scanning debería haber detectado un secreto confirmado en el repositorio y no lo ha hecho, primero debe comprobar que GitHub admite el secreto. Para más información, consulte las secciones siguientes. Para obtener información de solución de problemas más avanzada, vea "Solución de problemas de secret scanning".
Secretos compatibles con alertas de asociados
GitHub examina actualmente los repositorios públicos de los secretos emitidos por los siguientes proveedores de servicios y alerta al proveedor de servicios pertinente cada vez que se detecta un secreto en una confirmación. Para obtener más información sobre alertas de examen de secretos para asociados, consulta "Acerca de alertas de examen de secretos para asociados".
Si el acceso a un recurso requiere credenciales emparejadas, la exploración de secretos creará una alerta solo cuando se detecten las dos partes del par en el mismo archivo. Esto garantiza que las fugas más críticas no queden ocultas detrás de la información sobre fugas parciales. La coincidencia de pares ayuda a reducir los falsos positivos, ya que ambos elementos de un par deben usarse juntos para acceder al recurso del proveedor.
| Asociado | Secreto compatible |
|---|---|
| Adafruit IO | Clave de IO de Adafruit |
| Adobe | Token de Dispositivo de Adobe |
| Adobe | Token de Servicio de Adobe |
| Adobe | Token de Acceso de Vida Corta de Adobe |
| Adobe | Token Web de JSON de Adobe |
| Alibaba Cloud | Par de ID y Secreto de Clave de Acceso a la Nube de Alibaba |
| Amazon Web Services (AWS) | Par de ID y Secreto de Clave de Acceso a AWS de Amazon |
| Atlassian | Token de API de Atlassian |
| Atlassian | Token Web de JSON de Atlassian |
| Azure | Secreto de aplicación de Azure Active Directory |
| Azure | Objeto de identificación de clave de Azure Batch |
| Azure | Objeto de identificación de clave de Azure CosmosDB |
| Azure | Azure DevOps Personal Access Token |
| Azure | Clave de servicio web de Azure ML Studio (clásico) |
| Azure | Token de Azure SAS |
| Azure | Clave de administrador de Azure Search |
| Azure | Clave de consulta de Azure Search |
| Azure | Certificado de Administración de Servicios de Azure |
| Azure | Cadena de conexión de Azure SQL |
| Azure | Clave de la cuenta de Azure Storage |
| Checkout.com | Clave secreta de productión de Checkout.com |
| Checkout.com | Clave secreta de pruebas de Checkout.com |
| Chief Tools | Token de herramientas de Chief |
| Clojars | Token de Despliegue de Clojars |
| CloudBees CodeShip | Credencial de Codeship de CloudBees |
| Sistemas Contribuidos | Credenciales de los sistemas contribuidos |
| Crates.io | Token de API de Crates.io |
| Databricks | Token de Acceso de Databricks |
| Datadog | Clave de API de Datadog |
| DevCycle | Clave de API de cliente de DevCycle |
| DevCycle | Clave de API de servidor de DevCycle |
| DigitalOcean | DigitalOcean Personal Access Token |
| DigitalOcean | DigitalOcean OAuth Token |
| DigitalOcean | DigitalOcean Refresh Token |
| DigitalOcean | Token del sistema de DigitalOcean |
| Discord | Token de Bot de Discord |
| Doppler | Token Personal de Doppler |
| Doppler | Token de Servicio de Doppler |
| Doppler | Token de CLI de Doppler |
| Doppler | Token de SCIM de Doppler |
| Doppler | Token de auditoría de Doppler |
| Dropbox | Token de Acceso de Dropbox |
| Dropbox | Token de Acceso de Vida Corta de Dropbox |
| Dynatrace | Token de Acceso de Dynatrace |
| Dynatrace | Token Interno de Dynatrace |
| Figma | Figma Personal Access Token |
| Finicity | Clave de App de Finicity |
| Frame.io | Token Web de JSON de Frame.io |
| Frame.io | Token de Desarrollador de Frame.io |
| FullStory | Llave de la API de FullStory |
| GitHub | GitHub Personal Access Token |
| GitHub | Token de Acceso de OAuth para GitHub |
| GitHub | Token de Actualización de GitHub |
| GitHub | Token de Acceso a la Instalación de GitHub App |
| GitHub | Clave Privada de SSH de GitHub |
| GoCardless | Token de Acceso en Vivo a GoCardless |
| GoCardless | Token de Acceso de GoCardless Sandbox |
| Google Cloud | Clave de API de Google |
| Google Cloud | ID de Clave Privada de Google Cloud |
| Hashicorp Terraform | Token de API de Terraform Cloud / Enterprise |
| Hubspot | Clave de API de Hubspot |
| Hubspot | Clave de acceso personal de API de Hubspot |
| Ionic | Ionic Personal Access Token |
| Ionic | Token de Actualización de Ionic |
| JD Cloud | Clave de acceso de JD Cloud |
| Lineal | Llave de la API de Linear |
| Lineal | Token de Acceso Oauth de Linear |
| LocalStack | Clave de API de LocalStack |
| Mailchimp | Clave de API de Mailchimp |
| Mailchimp | Clave de API de Mandrill |
| Mailgun | Clave de API de Mailgun |
| MessageBird | Clave de API de MessageBird |
| Meta | Token de Acceso a Facebook |
| npm | Token de Acceso de npm |
| NuGet | Clave de API de NuGet |
| Octopus Deploy | Llave de la API de Octopus Deploy |
| OpenAI | Clave de la API de OpenAI |
| Palantir | Token Web de JSON de Palantir |
| PlanetScale | Contraseña de base de datos de PlanetScale |
| PlanetScale | Token de OAuth de PlanetScale |
| PlanetScale | Token de Servicio de PlanetScale |
| Plivo | Token e ID de Auth de Plivo |
| postman | Clave de API de Postman |
| Prefect | Clave de API de servidor de Prefect |
| Prefect | Token de API de usuario de Prefect |
| Proctorio | Clave de Consumidor de Proctorio |
| Proctorio | Clave de Enlace de Proctorio |
| Proctorio | Clave de Registro de Proctorio |
| Proctorio | Clave de Secreto de Proctorio |
| Pulumi | Token de Acceso de Pulumi |
| PyPI | Token de la API de PyPI |
| Léame | Clave de acceso de API de ReadMe |
| redirect.pizza | Token de la API redirect.pizza |
| RubyGems | Clave de la API de RubyGems |
| Samsara | Token de API de Samsara |
| Samsara | Token de Acceso de OAuth de Samsara |
| Segment | Segmentar token de API pública |
| SendGrid | Clave de API de SendGrid |
| Sendinblue | Llave de la API de Sendinblue |
| Sendinblue | Llave SMTP de Sendinblue |
| Shopify | Secreto Compartid de la App de Shopify |
| Shopify | Token de Acceso de Shopify |
| Shopify | Token de Acceso de la App Personalizada de Shopify |
| Shopify | Contraseña de la App Privada de Shopify |
| Slack | Token de la API de Slack |
| Slack | URL Entrante de Webhook de Slack |
| Slack | URL de Flujo de Trabajo de Webhook de Slack |
| SSLMate | Clave de API de SSLMate |
| SSLMate | Secreto de Agrupamiento de SSLMate |
| Stripe | Clave de Secreto Stripe Live |
| Stripe | Clave Secreta de API de Pruebas de Stripe |
| Stripe | Clave Restringida de API de Stripe Live |
| Stripe | Clave Restringida de API de Pruebas de Stripe |
| Supabase | Clave de servicio de Supabase |
| Telnyx | Clave de API V2 de Telnyx |
| Tencent Cloud | ID de Secreto de Tencent Cloud |
| Tencent WeChat | Id. de aplicación de API de Tencent WeChat |
| Twilio | Identificador de Secuencia de Cuenta de Twilio |
| Twilio | Clave de API de Twilio |
| Typeform | Typeform Personal Access Token |
| Uniwise | Clave de API de WISEflow |
| Valour | Token de acceso a Valour |
| Yandex | Clave de API de Yandex.Cloud |
| Yandex | Cookie de IAM de Yandex.Cloud |
| Yandex | Token de IAM de Yandex.Cloud |
| Yandex | Clave de API de Yandex.Dictionary |
| Yandex | Secreto de acceso de Yandex.Cloud |
| Yandex | Token de OAuth de Yandex.Passport |
| Zuplo | API de consumidor de Zuplo |
Secretos admitidos para alertas de usuario
Nota: La característica de alertas de examen de secretos para usuarios está disponible como versión beta para los usuarios en planes de GitHub Free, GitHub Pro o GitHub Team y está sujeta a cambios.
Cuando alertas de examen de secretos para usuarios están habilitados, GitHub examina los repositorios para ver si hay secretos emitidos por los siguientes proveedores de servicios y genera alertas de examen de secretos. Puedes ver estas alertas en la pestaña Seguridad del repositorio. Para obtener más información sobre alertas de examen de secretos para usuarios, consulta "Acerca de alertas de examen de secretos para usuarios."
Si el acceso a un recurso requiere credenciales emparejadas, la exploración de secretos creará una alerta solo cuando se detecten las dos partes del par en el mismo archivo. Esto garantiza que las fugas más críticas no queden ocultas detrás de la información sobre fugas parciales. La coincidencia de pares ayuda a reducir los falsos positivos, ya que ambos elementos de un par deben usarse juntos para acceder al recurso del proveedor.
Si usas la API REST para el examen de secretos, puedes usar Secret type para informar sobre secretos de emisores específicos. Para obtener más información, consulta "Examen de secretos".
| Proveedor | Secreto compatible | Tipo de secreto |
|---|---|---|
| Adafruit IO | Clave de IO de Adafruit | adafruit_io_key |
| Adobe | Token de Dispositivo de Adobe | adobe_device_token |
| Adobe | Token de Servicio de Adobe | adobe_service_token |
| Adobe | Token de Acceso de Vida Corta de Adobe | adobe_short_lived_access_token |
| Adobe | Token Web de JSON de Adobe | adobe_jwt |
| Alibaba Cloud | Id. de clave de acceso de Alibaba Cloud con secreto de clave de acceso de Alibaba Cloud | alibaba_cloud_access_key_id alibaba_cloud_access_key_secret Amazon |