# Uso de secretos en Acciones de GitHub
Aprenda a crear secretos en los niveles de repositorio, entorno y organización para flujos de trabajo GitHub Actions.
## Creación de secretos para un repositorio
Para crear secretos o variables en GitHub para un repositorio de la organización, debe tener acceso `write`. Para un repositorio de cuenta personal, debe ser colaborador del repositorio.
1. En GitHub, navegue hasta la página principal del repositorio.
2. Debajo del nombre del repositorio, haz clic en ** Settings**. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable **** y, a continuación, haz clic en **Configuración**.
3. En la sección "Seguridad" de la barra lateral, seleccione ** Secrets and variables** y haz clic en **Actions**.
4. Haz clic en la pestaña **Secretos**.
1. Haga clic en **Nueva contraseña del repositorio**.
2. En el campo **Nombre**, escribe un nombre para el secreto.
3. En el campo **Secreto**, escribe el valor del secreto.
4. Haga clic en **Añadir secreto**.
Si tu repositorio tiene secretos de entorno o puede acceder a los secretos de la organización principal, entonces esos secretos también están listados en esta página.
Para agregar un secreto del repositorio, use el subcomando `gh secret set`. Reemplace `secret-name` por el nombre del secreto.
```shell
gh secret set SECRET_NAME
```
El CLI te pedirá ingresar un valor secreto. Como alternativa, puedes leer el valor del secreto desde un archivo.
```shell
gh secret set SECRET_NAME < secret.txt
```
Para mostrar todos los secretos del repositorio, use el subcomando `gh secret list`.
## Crear secretos para un ambiente
Para crear secretos o variables para un entorno en el repositorio de una cuenta personal, debe ser el propietario del repositorio. Para crear secretos o variables para un entorno en un repositorio de la organización, debe tener acceso `admin`. Para más información sobre los entornos, consulta [Administrar entornos para la implementación](/es/enterprise-server@3.22/actions/how-tos/deploy/configure-and-manage-deployments/manage-environments).
1. En GitHub, navegue hasta la página principal del repositorio.
2. Debajo del nombre del repositorio, haz clic en ** Settings**. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable **** y, a continuación, haz clic en **Configuración**.
3. En la barra lateral de la izquierda, haz clic en **Entornos**.
4. Da clic en el ambiente al cual quieras agregar un secreto.
5. En **Environment secrets**, haga clic en **Add secret**.
6. Escriba un nombre para su secreto en el cuadro de entrada **Name**.
7. Ingresa el valor de tu secreto.
8. Haga clic en **Añadir secreto**.
Para agregar un secreto de un entorno, use el subcomando `gh secret set` con la `--env` marca o `-e` seguida del nombre del entorno.
```shell
gh secret set --env ENV_NAME SECRET_NAME
```
Para mostrar todos los secretos de un entorno, use el subcomando `gh secret list` con la `--env` marca o `-e` seguida del nombre del entorno.
```shell
gh secret list --env ENV_NAME
```
## Crear secretos para una organización
Cuando creas un secreto o una variable en una organización, puedes usar una política para limitar el acceso por repositorio. Por ejemplo, puedes otorgar acceso a todos los repositorios, o limitarlo a solo los repositorios privados o a una lista específica de estos.
Los propietarios y usuarios de la organización con los permisos "Administrar variables de acciones de la organización" o "Administrar secretos de acciones de la organización" pueden crear secretos o variables en el nivel de organización.
Para obtener más información, consulte [Permisos de roles de organización personalizados](/es/enterprise-server@3.22/organizations/managing-peoples-access-to-your-organization-with-roles/permissions-of-custom-organization-roles).
1. En GitHub, navega a la página principal de tu organización.
2. Debajo del nombre de la organización, haz clic en ** Settings**. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable **** y, a continuación, haz clic en **Configuración**.
3. En la sección "Seguridad" de la barra lateral, seleccione ** Secrets and variables** y haz clic en **Actions**.
4. Haz clic en la pestaña **Secretos**.
> \[!NOTE]
> Es posible que la página "Actions secrets and variables" no muestre pestañas distintas para secretos y variables en función de los permisos. Los propietarios y usuarios de la organización con los permisos "Administrar variables de acciones de la organización" y "Administrar secretos de acciones de la organización" verán las pestañas **Variables** y **Secretos**. Para más información, consulta [Permisos de roles de organización personalizados](/es/enterprise-server@3.22/organizations/managing-peoples-access-to-your-organization-with-roles/permissions-of-custom-organization-roles).
5. Haga clic en **Nuevo secreto de organización**.
6. Escriba un nombre para su secreto en el cuadro de entrada **Name**.
7. Introduzca el valor para su secreto en el campo **Value**.
8. En la lista desplegable **Repository access** (Acceso al repositorio), elija una directiva de acceso.
9. Haga clic en **Añadir secreto**.
> \[!NOTE]
> De forma predeterminada, GitHub CLI se autentica con los permisos `repo` y `read:org`. Para administrar secretos de la organización, debe autorizar además el alcance `admin:org`.
>
> ```shell
> gh auth login --scopes "admin:org"
> ```
Para agregar un secreto de una organización, use el subcomando `gh secret set` con la marca `--org` o `-o` seguida del nombre de la organización.
```shell
gh secret set --org ORG_NAME SECRET_NAME
```
Predeterminadamente, el secreto solo se encuentra disponible para los repositorios privados. Para especificar que el secreto debe estar disponible para todos los repositorios de la organización, use la marca `--visibility` o `-v`.
```shell
gh secret set --org ORG_NAME SECRET_NAME --visibility all
```
Para especificar que el secreto debe estar disponible para los repositorios seleccionados de la organización, use la marca `--repos` o `-r`.
```shell
gh secret set --org ORG_NAME SECRET_NAME --repos REPO-NAME-1, REPO-NAME-2
```
Para mostrar todos los secretos de una organización, use el subcomando `gh secret list` con la marca `--org` o `-o` seguida del nombre de la organización.
```shell
gh secret list --org ORG_NAME
```
## Revisar el acceso a los secretos de nivel organizacional
Puedes revisar qué políticas de acceso se están aplicando a un secreto en tu organización.
1. En GitHub, navega a la página principal de tu organización.
2. Debajo del nombre de la organización, haz clic en ** Settings**. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable **** y, a continuación, haz clic en **Configuración**.
3. En la sección "Seguridad" de la barra lateral, seleccione ** Secrets and variables** y haz clic en **Actions**.
4. La lista de secretos incluye cualquier política y permiso configurado. Para obtener más información sobre los permisos configurados para cada secreto, haz clic en **Actualizar**.
## Uso de secretos en un flujo de trabajo
> \[!NOTE]
>
> * Con la excepción de `GITHUB_TOKEN`, los secretos no se pasan al ejecutor cuando se desencadena un flujo de trabajo desde un repositorio bifurcado.
> * Los secretos no se pasan automáticamente a flujos de trabajo reutilizables. Para más información, consulta [Reutilización de flujos de trabajo](/es/enterprise-server@3.22/actions/how-tos/reuse-automations/reuse-workflows#passing-inputs-and-secrets-to-a-reusable-workflow).
> * Los secretos no están disponibles para los flujos de trabajo desencadenados por Dependabot eventos. Para más información, consulta [Solución de problemas de Dependabot en acciones de GitHub](/es/enterprise-server@3.22/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-on-actions#accessing-secrets).
> * GitHub Actions Si los flujos de trabajo necesitan acceder a los recursos de un proveedor de nube que admita OpenID Connect (OIDC), puede configurar los flujos de trabajo para autenticarse directamente en el proveedor de nube. Esto te permitirá dejar de almacenar estas credenciales como secretos de duración larga y te proporcionará otros beneficios de seguridad. Para más información, consulta [OpenID Connect](/es/enterprise-server@3.22/actions/concepts/security/openid-connect).
> \[!WARNING] Oculta toda la información confidencial que no sea un GitHub secreto usando `::add-mask::VALUE`. Esto hace que el valor se trate como un secreto y se redacte de los registros.
Para proporcionar una acción con un secreto como variable de entrada o de entorno, puede usar el contexto `secrets` para acceder a los secretos que haya creado en el repositorio. Para más información, consulta [Contextos de referencia](/es/enterprise-server@3.22/actions/reference/workflows-and-actions/contexts) y [Sintaxis del flujo de trabajo para Acciones de GitHub](/es/enterprise-server@3.22/actions/reference/workflows-and-actions/workflow-syntax).
```yaml
steps:
- name: Hello world action
with: # Set the secret as an input
super_secret: ${{ secrets.SuperSecret }}
env: # Or as an environment variable
super_secret: ${{ secrets.SuperSecret }}
```
No se puede hacer referencia directamente a secretos en condicionales `if:`. En vez de esto, considera configurar secretos como variables de entorno a nivel de tarea y luego referenciar dichas variables para ejecutar pasos condicionalmente en la tarea. Para obtener más información, consulta [Contextos de referencia](/es/enterprise-server@3.22/actions/reference/workflows-and-actions/contexts#context-availability) y [`jobs..steps[*].if`](/es/enterprise-server@3.22/actions/reference/workflows-and-actions/workflow-syntax#jobsjob_idstepsif).
Si no se ha establecido un secreto, el valor devuelto de una expresión que hace referencia al secreto (como `${{ secrets.SuperSecret }}` en el ejemplo) será una cadena vacía.
Evita pasar secretos entre procesos desde la línea de comando, siempre que sea posible. Los procesos de la línea de comandos pueden ser visibles para otros usuarios (mediante el comando `ps`) o capturados mediante [eventos de auditoría de seguridad](https://docs.microsoft.com/windows-server/identity/ad-ds/manage/component-updates/command-line-process-auditing). Para proteger los secretos, considere la opción de usar variables de entorno, `STDIN` u otros mecanismos admitidos por el proceso de destino.
Si debes pasar secretos dentro de una línea de comando, enciérralos usando las normas de uso de comillas adecuadas. Los secretos suelen contener caracteres especiales que pueden afectar involuntariamente a tu shell. Para evitar estos caracteres especiales, usa comillas en tus variables de entorno. Por ejemplo:
### Ejemplo usando Bash
```yaml
steps:
- shell: bash
env:
SUPER_SECRET: ${{ secrets.SuperSecret }}
run: |
example-command "$SUPER_SECRET"
```
### Ejemplo usando PowerShell
```yaml
steps:
- shell: pwsh
env:
SUPER_SECRET: ${{ secrets.SuperSecret }}
run: |
example-command "$env:SUPER_SECRET"
```
### Ejemplo usando Cmd.exe
```yaml
steps:
- shell: cmd
env:
SUPER_SECRET: ${{ secrets.SuperSecret }}
run: |
example-command "%SUPER_SECRET%"
```
## Almacenamiento de datos confidenciales grandes
Para usar secretos de más de 48 KB, puede usar una solución alternativa para almacenar secretos en el repositorio y guardar la frase de contraseña de descifrado como un secreto en GitHub. Por ejemplo, puede usar `gpg` para cifrar un archivo que contenga el secreto localmente antes de comprobar el archivo cifrado en el repositorio en GitHub. Para obtener más información, consulta la [página del manual de gpg](https://www.gnupg.org/gph/de/manual/r1023.html).
> \[!WARNING]
> Intenta evitar que los secretos se impriman cuando se ejecute el flujo de trabajo. Al usar esta solución alternativa, GitHub no redacta secretos que se impriman en los registros.
1. Ejecuta el comando siguiente desde el terminal para cifrar el archivo que contiene el secreto mediante `gpg` y el algoritmo de cifrado AES256. En este ejemplo, `my_secret.json` es el archivo que contiene el secreto.
```shell
gpg --symmetric --cipher-algo AES256 my_secret.json
```
2. Se te pedirá que ingreses una contraseña. Recuerde la frase de contraseña, ya que tendrá que crear un nuevo secreto en GitHub que use la frase de contraseña como valor.
3. Crear un nuevo secreto que contiene la frase de acceso. Por ejemplo, crea un secreto con el nombre `LARGE_SECRET_PASSPHRASE` y establece el valor del secreto en la frase de contraseña que usaste en el paso anterior.
4. Copia el archivo cifrado en una ruta de acceso de tu repositorio y confírmalo. En este ejemplo, el archivo cifrado es `my_secret.json.gpg`.
> \[!WARNING]
> Asegúrate de copiar el archivo cifrado `my_secret.json.gpg` que termina con la extensión de archivo `.gpg` y **no** el archivo sin cifrar `my_secret.json`.
```shell
git add my_secret.json.gpg
git commit -m "Add new secret JSON file"
```
5. Crea un script de shell en el repositorio para descifrar el archivo secreto. En este ejemplo, el script se denomina `decrypt_secret.sh`.
```shell copy
#!/bin/sh
# Decrypt the file
mkdir $HOME/secrets
# --batch to prevent interactive command
# --yes to assume "yes" for questions
gpg --quiet --batch --yes --decrypt --passphrase="$LARGE_SECRET_PASSPHRASE" \
--output $HOME/secrets/my_secret.json my_secret.json.gpg
```
6. Asegúrate de que tu script de shell sea ejecutable antes de verificarlo en tu repositorio.
```shell
chmod +x decrypt_secret.sh
git add decrypt_secret.sh
git commit -m "Add new decryption script"
git push
```
7. En su flujo de trabajo GitHub Actions, use un `step` para llamar al script de shell y descifrar el secreto. Para tener una copia del repositorio en el entorno en el que se ejecuta el flujo de trabajo, deberá usar la acción [`actions/checkout`](https://github.com/actions/checkout). Haga referencia a su script de shell mediante el comando `run` que corresponde con la raíz de su repositorio.
```yaml
name: Workflows with large secrets
on: push
jobs:
my-job:
name: My Job
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v6
- name: Decrypt large secret
run: ./decrypt_secret.sh
env:
LARGE_SECRET_PASSPHRASE: ${{ secrets.LARGE_SECRET_PASSPHRASE }}
# This command is just an example to show your secret being printed
# Ensure you remove any print statements of your secrets. GitHub does
# not hide secrets that use this workaround.
- name: Test printing your secret (Remove this step in production)
run: cat $HOME/secrets/my_secret.json
```
## Almacenar blobs binarios en Base64 como secretos
Puedes utilizar el cifrado en Base64 para almacenar blobs binarios pequeños como secretos. Puedes referenciar el secreto en tu flujo de trabajo y decodificarlo para utilizarlo en el ejecutor. Para conocer los límites de tamaño, consulta [Referencia de secretos](/es/enterprise-server@3.22/actions/reference/security/secrets#limits-for-secrets).
> \[!NOTE]
>
> * Tenga en cuenta que Base64 solo convierte elementos binarios en texto y no es un sustituto del cifrado real.
> * El uso de otro shell podría requerir comandos diferentes para descodificar el secreto en un archivo. En los ejecutores de Windows, se recomienda [usar un shell de Bash](/es/enterprise-server@3.22/actions/reference/workflows-and-actions/workflow-syntax#jobsjob_idstepsshell) con `shell: bash` para usar los comandos del paso `run` anterior.
1. Use `base64` para codificar el archivo en una cadena Base64. Por ejemplo:
En macOS, puede ejecutar:
```shell
base64 -i cert.der -o cert.base64
```
En Linux, puede ejecutar:
```shell
base64 -w 0 cert.der > cert.base64
```
2. Crea un secreto que contenga la secuencia de Base64. Por ejemplo:
```shell
$ gh secret set CERTIFICATE_BASE64 < cert.base64
✓ Set secret CERTIFICATE_BASE64 for octocat/octorepo
```
3. Para acceder a la cadena Base64 desde el ejecutor, canalice el secreto a `base64 --decode`. Por ejemplo:
```yaml
name: Retrieve Base64 secret
on:
push:
branches: [ octo-branch ]
jobs:
decode-secret:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v6
- name: Retrieve the secret and decode it to a file
env:
CERTIFICATE_BASE64: ${{ secrets.CERTIFICATE_BASE64 }}
run: |
echo $CERTIFICATE_BASE64 | base64 --decode > cert.der
- name: Show certificate information
run: |
openssl x509 -in cert.der -inform DER -text -noout
```
## Pasos siguientes
Para obtener información de referencia, consulta [Referencia de secretos](/es/enterprise-server@3.22/actions/reference/security/secrets).