Acerca de los patrones de secret scanning
GitHub mantiene estos conjuntos diferentes de patrones de secret scanning:
-
Patrones de asociados. Se usan para detectar posibles secretos en todos los repositorios públicos. Para más información, consulta "Secretos admitidos para alertas de asociados".
-
Patrones de alerta de usuario. Se usa para detectar posibles secretos en repositorios públicos con secret scanning alerts for users habilitado. Para más información, consulta "Secretos admitidos para alertas de usuario".
Los propietarios de repositorios públicos, así como las organizaciones que usan GitHub Enterprise Cloud conGitHub Advanced Security, pueden habilitar secret scanning alerts for users en sus repositorios. Para más información sobre estos patrones, consulta la sección "Secretos admitidos para alertas de usuario" a continuación.
Secretos compatibles con alertas de asociados
GitHub examina actualmente los repositorios públicos de los secretos emitidos por los siguientes proveedores de servicios y alerta al proveedor de servicios pertinente cada vez que se detecta un secreto en una confirmación. Para obtener más información sobre secret scanning alerts for partners, consulta "Acerca de secret scanning alerts for partners".
Si el acceso a un recurso requiere credenciales emparejadas, la exploración de secretos creará una alerta solo cuando se detecten las dos partes del par en el mismo archivo. Esto garantiza que las fugas más críticas no queden ocultas detrás de la información sobre fugas parciales.
| Asociado | Secreto compatible |
|---|---|
| Adafruit IO | Clave de IO de Adafruit |
| Adobe | Token de Dispositivo de Adobe |
| Adobe | Token de Servicio de Adobe |
| Adobe | Token de Acceso de Vida Corta de Adobe |
| Adobe | Token Web de JSON de Adobe |
| Alibaba Cloud | Par de ID y Secreto de Clave de Acceso a la Nube de Alibaba |
| Amazon Web Services (AWS) | Par de ID y Secreto de Clave de Acceso a AWS de Amazon |
| Atlassian | Token de API de Atlassian |
| Atlassian | Token Web de JSON de Atlassian |
| Azure | Secreto de aplicación de Azure Active Directory |
| Azure | Objeto de identificación de clave de Azure Batch |
| Azure | Objeto de identificación de clave de Azure CosmosDB |
| Azure | Azure DevOps Personal Access Token |
| Azure | Clave de servicio web de Azure ML Studio (clásico) |
| Azure | Token de Azure SAS |
| Azure | Clave de administrador de Azure Search |
| Azure | Clave de consulta de Azure Search |
| Azure | Certificado de Administración de Servicios de Azure |
| Azure | Cadena de conexión de Azure SQL |
| Azure | Clave de la cuenta de Azure Storage |
| Checkout.com | Clave secreta de productión de Checkout.com |
| Checkout.com | Clave secreta de pruebas de Checkout.com |
| Chief Tools | Token de herramientas de Chief |
| Clojars | Token de Despliegue de Clojars |
| CloudBees CodeShip | Credencial de Codeship de CloudBees |
| Sistemas Contribuidos | Credenciales de los sistemas contribuidos |
| Crates.io | Token de API de Crates.io |
| Databricks | Token de Acceso de Databricks |
| Datadog | Clave de API de Datadog |
| DevCycle | Clave de API de cliente de DevCycle |
| DevCycle | Clave de API de servidor de DevCycle |
| DigitalOcean | DigitalOcean Personal Access Token |
| DigitalOcean | DigitalOcean OAuth Token |
| DigitalOcean | DigitalOcean Refresh Token |
| DigitalOcean | Token del sistema de DigitalOcean |
| Discord | Token de Bot de Discord |
| Doppler | Token Personal de Doppler |
| Doppler | Token de Servicio de Doppler |
| Doppler | Token de CLI de Doppler |
| Doppler | Token de SCIM de Doppler |
| Doppler | Token de auditoría de Doppler |
| Dropbox | Token de Acceso de Dropbox |
| Dropbox | Token de Acceso de Vida Corta de Dropbox |
| Dynatrace | Token de Acceso de Dynatrace |
| Dynatrace | Token Interno de Dynatrace |
| Figma | Figma Personal Access Token |
| Finicity | Clave de App de Finicity |
| Frame.io | Token Web de JSON de Frame.io |
| Frame.io | Token de Desarrollador de Frame.io |
| FullStory | Llave de la API de FullStory |
| GitHub | GitHub Personal Access Token |
| GitHub | Token de Acceso de OAuth para GitHub |
| GitHub | Token de Actualización de GitHub |
| GitHub | Token de Acceso a la Instalación de GitHub App |
| GitHub | Clave Privada de SSH de GitHub |
| GoCardless | Token de Acceso en Vivo a GoCardless |
| GoCardless | Token de Acceso de GoCardless Sandbox |
| Google Cloud | Clave de API de Google |
| Google Cloud | ID de Clave Privada de Google Cloud |
| Hashicorp Terraform | Token de API de Terraform Cloud / Enterprise |
| Hubspot | Clave de API de Hubspot |
| Hubspot | Clave de acceso personal de API de Hubspot |
| Ionic | Ionic Personal Access Token |
| Ionic | Token de Actualización de Ionic |
| JD Cloud | Clave de acceso de JD Cloud |
| Lineal | Llave de la API de Linear |
| Lineal | Token de Acceso Oauth de Linear |
| LocalStack | Clave de API de LocalStack |
| Mailchimp | Clave de API de Mailchimp |
| Mailchimp | Clave de API de Mandrill |
| Mailgun | Clave de API de Mailgun |
| MessageBird | Clave de API de MessageBird |
| Meta | Token de Acceso a Facebook |
| npm | Token de Acceso de npm |
| NuGet | Clave de API de NuGet |
| Octopus Deploy | Llave de la API de Octopus Deploy |
| OpenAI | Clave de la API de OpenAI |
| Palantir | Token Web de JSON de Palantir |
| PlanetScale | Contraseña de base de datos de PlanetScale |
| PlanetScale | Token de OAuth de PlanetScale |
| PlanetScale | Token de Servicio de PlanetScale |
| Plivo | Token e ID de Auth de Plivo |
| postman | Clave de API de Postman |
| Prefect | Clave de API de servidor de Prefect |
| Prefect | Token de API de usuario de Prefect |
| Proctorio | Clave de Consumidor de Proctorio |
| Proctorio | Clave de Enlace de Proctorio |
| Proctorio | Clave de Registro de Proctorio |
| Proctorio | Clave de Secreto de Proctorio |
| Pulumi | Token de Acceso de Pulumi |
| PyPI | Token de la API de PyPI |
| Léame | Clave de acceso de API de ReadMe |
| redirect.pizza | Token de la API redirect.pizza |
| RubyGems | Clave de la API de RubyGems |
| Samsara | Token de API de Samsara |
| Samsara | Token de Acceso de OAuth de Samsara |
| Segment | Segmentar token de API pública |
| SendGrid | Clave de API de SendGrid |
| Sendinblue | Llave de la API de Sendinblue |
| Sendinblue | Llave SMTP de Sendinblue |
| Shopify | Secreto Compartid de la App de Shopify |
| Shopify | Token de Acceso de Shopify |
| Shopify | Token de Acceso de la App Personalizada de Shopify |
| Shopify | Contraseña de la App Privada de Shopify |
| Slack | Token de la API de Slack |
| Slack | URL Entrante de Webhook de Slack |
| Slack | URL de Flujo de Trabajo de Webhook de Slack |
| SSLMate | Clave de API de SSLMate |
| SSLMate | Secreto de Agrupamiento de SSLMate |
| Stripe | Clave de Secreto Stripe Live |
| Stripe | Clave Secreta de API de Pruebas de Stripe |
| Stripe | Clave Restringida de API de Stripe Live |
| Stripe | Clave Restringida de API de Pruebas de Stripe |
| Supabase | Clave de servicio de Supabase |
| Telnyx | Clave de API V2 de Telnyx |
| Tencent Cloud | ID de Secreto de Tencent Cloud |
| Tencent WeChat | Id. de aplicación de API de Tencent WeChat |
| Twilio | Identificador de Secuencia de Cuenta de Twilio |
| Twilio | Clave de API de Twilio |
| Typeform | Typeform Personal Access Token |
| Uniwise | Clave de API de WISEflow |
| Valour | Token de acceso a Valour |
| Yandex | Clave de API de Yandex.Cloud |
| Yandex | Cookie de IAM de Yandex.Cloud |
| Yandex | Token de IAM de Yandex.Cloud |
| Yandex | Clave de API de Yandex.Dictionary |
| Yandex | Secreto de acceso de Yandex.Cloud |
| Yandex | Token de OAuth de Yandex.Passport |
| Zuplo | API de consumidor de Zuplo |
Secretos admitidos para alertas de usuario
Nota: La característica de secret scanning alerts for users está disponible como versión beta para los usuarios en planes de GitHub Free, GitHub Pro o GitHub Team y está sujeta a cambios.
Cuando secret scanning alerts for users están habilitados, GitHub examina los repositorios para ver si hay secretos emitidos por los siguientes proveedores de servicios y genera secret scanning alerts. Puedes ver estas alertas en la pestaña "Seguridad" del repositorio. Para obtener más información sobre secret scanning alerts for users, consulta "Acerca de secret scanning alerts for users."
Si el acceso a un recurso requiere credenciales emparejadas, la exploración de secretos creará una alerta solo cuando se detecten las dos partes del par en el mismo archivo. Esto garantiza que las fugas más críticas no queden ocultas detrás de la información sobre fugas parciales.
Si usas la API REST para el examen de secretos, puedes usar Secret type para informar sobre secretos de emisores específicos. Para obtener más información, consulta "Examen de secretos".
| Proveedor | Secreto compatible | Tipo de secreto |
|---|---|---|
| Adafruit IO | Clave de IO de Adafruit | adafruit_io_key |
| Adobe | Token de Dispositivo de Adobe | adobe_device_token |
| Adobe | Token de Servicio de Adobe | adobe_service_token |
| Adobe | Token de Acceso de Vida Corta de Adobe | adobe_short_lived_access_token |
| Adobe | Token Web de JSON de Adobe | adobe_jwt |
| Alibaba Cloud | Id. de clave de acceso de Alibaba Cloud con secreto de clave de acceso de Alibaba Cloud | alibaba_cloud_access_key_id alibaba_cloud_access_key_secret Amazon |