Secretos expuestos, se reportan sin su valor

Cuando se encuentra un secreto expuesto, el reporte dice qué tipo de secreto es y dónde está: repositorio, archivo y línea, o la página de la wiki. No dice cuál es el valor. Un reporte que lo copia crea una segunda fuga, esta vez en el ticket, el correo o el chat, y con más gente leyéndola. Tampoco se prueba la credencial para ver si todavía sirve: eso es usarla, y hacerlo sin autorización no es parte del oficio. El estado lo dice el dueño o quien administra el sistema.

La gravedad de un secreto expuesto depende de dos cosas: si sigue sirviendo y quién puede leerlo. Un secreto activo en un lugar visible desde internet es de lo más urgente, porque cualquiera puede haberlo copiado ya. Mira la visibilidad de cada hallazgo en la tabla hallazgos y busca el que está fuera de la empresa.

El estado «activa» significa que el secreto sigue funcionando; «revocada», que ya se invalidó. Para la cola de trabajo importan los activos: los revocados solo necesitan que se limpie el rastro. Cuéntalos con una consulta de los hallazgos cuyo estado es activa.

Un escáner también se equivoca. Un archivo de ejemplo, que trae un marcador como «CLAVE-FICTICIA-0001» para que el equipo sepa qué rellenar, parece una credencial a los ojos de un patrón. El triaje consiste en abrir el hallazgo con su dueño y decidir si es real. Descartar un falso positivo con criterio evita que el equipo pierda tiempo y deja de ignorar el informe. La columna clasificacion guarda el resultado.

Cuando un secreto es real y está activo, lo primero no es borrar el archivo: es invalidarlo y reemplazarlo, porque quien ya lo copió lo seguiría teniendo, y el historial del repositorio lo conserva aunque el archivo se limpie. Después se corrige el lugar donde estaba, para que la nueva credencial no vuelva a escribirse ahí, y se revisa en el registro de uso si alguien lo usó en el tiempo que estuvo expuesto.