El guardián de secretos: Gitleaks
prácticaEl .gitignore no basta
Depende de que te acuerdes de cada archivo y de no escribir una llave por las prisas. Los humanos nos equivocamos. Necesitas un guardián que revise por ti.
Qué es Gitleaks
Un programa que mira cada cambio justo antes de guardarlo en git. Si huele a secreto, frena el commit y te avisa. El secreto no sale de tu máquina.
Instálalo
Una vez, con Homebrew, en Mac.
brew install gitleaksGuardián global: vigila todos tus repos
Un hook global revisa cada commit en todos tus proyectos, los de ahora y los que crees después. Lo pones una vez. Ojo: en Gitleaks 8.30 se escanea por stdin, no con --staged (ese revisa el historial).
git config --global core.hooksPath ~/.git-hooks-global# dentro de ~/.git-hooks-global/pre-commit:git diff --cached | gitleaks stdin --redact --no-bannerPruébalo o no sirve
La AWS key de ejemplo AKIAIOSFODNN7EXAMPLE pasa a propósito: está en la lista blanca de documentación. Prueba con un secreto falso pero realista y confirma que lo frena.
Auditar un repo a mano
Para revisar un proyecto entero, su historial incluido.
gitleaks git -vLa salida de emergencia y un punto ciego
Saltarte el guardián una vez existe, pero úsalo con criterio, no por costumbre. Y ojo: husky puede poner su propio hook local y pisar el global. Revisa que siga activo en proyectos nuevos.
git commit --no-verify