Administrar y Rotar sus Tokens de Acceso Personal
Los tokens de acceso personal deben tratarse con el mismo nivel de cuidado que las contraseñas. En este último paso, discutiremos las mejores prácticas para administrar y rotar sus tokens para mantener la seguridad.
Listar sus Tokens de Acceso Personal
Para ver sus tokens de acceso personal existentes en GitHub:
-
Usando la CLI de GitHub:
gh auth status
Este comando muestra información sobre su estado de autenticación actual, incluyendo el token que se está utilizando.
-
Alternativamente, puede ver todos sus tokens a través de la interfaz web de GitHub:
- Vaya a GitHub.com e inicie sesión.
- Haga clic en su foto de perfil en la esquina superior derecha.
- Seleccione "Settings" (Configuración).
- Navegue a "Developer settings" (Configuración de desarrollador) > "Personal access tokens" (Tokens de acceso personal) > "Tokens (classic)" (Tokens [clásicos]).
Mejores Prácticas de Seguridad de Tokens
Para mantener la seguridad de sus tokens de acceso personal, siga estas mejores prácticas:
-
Limite los ámbitos (scopes) del token: Conceda solo los permisos mínimos necesarios para el uso previsto del token.
-
Use nombres descriptivos: Asigne nombres significativos a sus tokens que indiquen su propósito y uso.
-
Establezca fechas de vencimiento: Para tokens no críticos, establezca una fecha de vencimiento para forzar la rotación periódica.
Para crear un token con una fecha de vencimiento utilizando la CLI de GitHub:
gh auth refresh -s repo,read:org --expiry 30d
gh auth token
Esto crea un token que expira en 30 días.
-
Audite periódicamente los tokens: Revise periódicamente sus tokens y revóque cualquier token que ya no sea necesario.
-
Almacene los tokens de forma segura: Nunca almacene tokens en repositorios públicos, archivos sin cifrar o compártalos con otros.
-
Use variables de entorno: Cuando utilice tokens en scripts o aplicaciones, guárdelos como variables de entorno en lugar de codificarlos de forma rígida.
Por ejemplo:
export GITHUB_TOKEN=your_token_here
Revocar un Token de Acceso Personal
Si sospecha que un token ha sido comprometido o ya no es necesario, revóquelo inmediatamente:
-
Usando la CLI de GitHub (reemplace TOKEN con su token):
gh auth logout
Esto lo desconecta e invalida el token actual.
-
A través de la interfaz web de GitHub:
- Vaya a GitHub.com e inicie sesión.
- Navegue a "Settings" (Configuración) > "Developer settings" (Configuración de desarrollador) > "Personal access tokens" (Tokens de acceso personal) > "Tokens (classic)" (Tokens [clásicos]).
- Encuentre el token que desea revocar.
- Haga clic en "Delete" (Eliminar) y confirme la acción.
Rotar sus Tokens
La rotación periódica de tokens es una buena práctica de seguridad. Así es como puede rotar sus tokens:
- Genere un nuevo token con los mismos permisos que el antiguo.
- Actualice sus aplicaciones y configuraciones para usar el nuevo token.
- Pruebe que todo funcione con el nuevo token.
- Revoque el token antiguo.
Para procesos automatizados, considere usar variables de entorno o bóvedas seguras para almacenar los tokens, lo que facilita la rotación.
## Generate a new token
gh auth refresh -s repo,read:org
NEW_TOKEN=$(gh auth token)
## Update your Git remote URL with the new token
git remote set-url origin https://${NEW_TOKEN}@github.com/yourusername/your-repo.git
## Verify it works
git fetch
## Revoke the old token through GitHub website
echo "Remember to revoke your old token in GitHub settings"
Al seguir estas mejores prácticas, puede mantener un acceso seguro a sus repositorios de Git mientras minimiza el riesgo de acceso no autorizado.
