▸ CódigoPaso 1 gratis
Caza las claves que se te colaron en el código antes de que las encuentre otro
Borrar una clave del archivo no la borra de Git: se queda en el historial, y gitleaks la encuentra leyendo commit a commit. En 5 minutos escondes una clave falsa en una carpeta y ves cómo la caza; después rastreas el historial, pones un portero que no deja pasar claves y aprendes qué hacer si se escapó una de verdad.
Al terminar tendrás
- Sabes escanear una carpeta y el historial entero de Git en busca de contraseñas, tokens y claves.
- Tus repos tienen un portero que frena el commit si lleva una clave dentro.
- Tienes un plan de emergencia para cuando se escapa una clave de verdad: rotarla primero, limpiar después.
En esta misión · 7 pasos · 34 min
- 1Instala Gitleaks en tu Mac o Windows5 min
- 2Escondes una clave falsa y el sabueso la encuentra5 min
- 3Tapa la clave y guarda el informe3 min
- 4La clave que borraste sigue en Git5 min
- 5Pon un portero que no deje pasar claves5 min
- 6Pásalo por tus proyectos de verdad5 min
- 7Se escapó una clave de verdad: el plan de emergencia6 min
Lo que vas a usar
34 min €0 RAM: Cualquiera · sin GPU macOS · Windows
Antes de empezar
- Un Mac con Homebrew o un Windows 10/11 con winget (viene de serie en Windows 11).
- Saber abrir la terminal. Si nunca lo has hecho, empieza por la misión del sótano.
- Ninguna clave real: en toda la misión usas la clave falsa que trae la propia documentación de gitleaks.
Necesitas además: En Mac, Homebrew; en Windows, winget. Git para los pasos 3 a 5. La documentación no pide memoria ni disco mínimos.
1Paso 01 de 07 · ~5 min
Instala Gitleaks en tu Mac o Windows
Lo primero: poner Gitleaks en tu ordenador con un comando y comprobar que responde.
- 1
Antes de instalar nada, mira de dónde viene. gitleaks está en github.com/gitleaks/gitleaks, tiene licencia MIT y unas 30.500 estrellas (API de GitHub, 01-11-2026). Si quieres una segunda opinión, pregúntale a tu IA:
Prompt para tu IAVoy a instalar gitleaks (github.com/gitleaks/gitleaks) con Homebrew o winget. Explícame en 3 frases qué hace, si envía mis archivos a algún servidor y qué permisos necesita en mi ordenador, para alguien que empieza.
Truco
Su README avisa de que gitleaks ya está «terminado»: a partir de ahora solo recibirá parches de seguridad. Para lo que vas a hacer, funciona igual.
- 2
Abre la terminal. En Mac: pulsa Cmd+Espacio, escribe Terminal y pulsa Enter. En Windows: pulsa la tecla Windows, escribe PowerShell y pulsa Enter. Instala gitleaks (escribe esto y pulsa Enter):
TerminalmacOS$brew install gitleaksTruco
En Windows, cuando acabe, cierra PowerShell y ábrelo otra vez para que encuentre la orden gitleaks.
- 3
Comprueba que Gitleaks ya está en tu ordenador. Escribe esto y pulsa Enter:
Terminal$gitleaks versionTruco
🎉 Si sale un número de versión o la ayuda de Gitleaks, ¡nivel 1 superado! Ya lo tienes instalado; en el paso 2 empiezas a usarlo.
¿Tu Mac dice «brew: command not found»? Instala Homebrew una vez
Homebrew es el instalador de programas que usamos en todas las misiones de Mac. Pega esto en la Terminal (es el comando oficial de brew.sh). Te pedirá la contraseña del Mac: al escribirla no se ve nada, es normal.
Instala HomebrewmacOS$/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"Al terminar, copia y ejecuta las líneas que salen bajo «Next steps», cierra la Terminal y ábrela de nuevo. Comprueba con brew --version.
Comprueba que funcionaAl escribir la comprobación sale la versión o la ayuda de Gitleaks, sin ningún error.
Si algo falla (2)
- zsh: command not found: brew
- No tienes Homebrew. Instálalo con la orden oficial de brew.sh, cierra y vuelve a abrir la terminal, y repite el brew install.
- gitleaks : El término 'gitleaks' no se reconoce… (Windows)
- PowerShell no ve todavía el programa recién instalado. Ciérralo, ábrelo otra vez y repite la orden.
¿Sigues atascado? Pregunta en la comunidad Avisar de un error en este paso
- 1
Lo que desbloqueas
6 pasos · 28 comandos · 2 prompts · 12 errores típicos resueltos
- 2Escondes una clave falsa y el sabueso la encuentra~5 min
Plantas una clave de mentira en un archivo y gitleaks la caza en segundos, diciéndote qué tipo de clave es y en qué línea está.
5 comandos · 1 error resuelto · comprobación incluida
- 3Tapa la clave y guarda el informe~3 min
Un informe que enseña la clave entera es otra fuga más. Aprendes a taparla, a guardarlo en un archivo y a leer el número que devuelve gitleaks, que es lo que usan los programas para saber si hubo hallazgo.
5 comandos · 2 errores resueltos · comprobación incluida
- 4La clave que borraste sigue en Git~5 min
Este es el truco que pilla a casi todo el mundo: borras la clave, haces commit y crees que ya está. Gitleaks lee el historial commit a commit y la encuentra igual, con el commit, el autor y la fecha.
7 comandos · 3 errores resueltos · comprobación incluida
- 5Pon un portero que no deje pasar claves~5 min
Un hook de Git es un pequeño guion que Git ejecuta antes de cada commit; si termina con error, el commit se cancela. Le pones a gitleaks de portero y ya no podrás guardar una clave sin enterarte.
5 comandos · 2 errores resueltos · comprobación incluida
- 6Pásalo por tus proyectos de verdad~5 min
Ya sabes cómo funciona. Ahora lo usas donde importa: en tus proyectos, con todas las ramas, sin enseñar las claves y apartando lo que ya revisaste para que no te moleste cada vez.
4 comandos · 1 prompt · 2 errores resueltos · comprobación incluida
- 7Se escapó una clave de verdad: el plan de emergencia~6 min
Lo primero no es borrarla del código, es dejarla inservible. Sigues el orden que recomienda GitHub: rotar, actualizar, vigilar y, solo después, limpiar el historial si hace falta.
2 comandos · 1 prompt · 2 errores resueltos · comprobación incluida
Pasos 2–7 con el plan Anual
Primeros logros
Ya lo tienes funcionando. Pruébalo con esto:
Revisa un proyecto antes de entregarlo
Antes de mandar un repo a un cliente o de hacerlo público, pásale gitleaks con --redact y apunta lo que salga.
Voy a entregar un proyecto y le he pasado gitleaks git -v --redact. Te pego el informe (las claves salen tapadas). Para cada hallazgo, dime en una frase si parece una clave real o un ejemplo, qué servicio es por el RuleID y qué tendría que hacer, para alguien que empieza. No me pidas la clave sin tapar.
El portero en todos tus proyectos
Copia el hook del paso 4 en cada repo que tengas, para que ninguno vuelva a aceptar una clave sin avisar.
Tengo varias carpetas de proyectos con Git dentro de ~/Proyectos en un Mac. Quiero copiar en cada una un archivo .git/hooks/pre-commit que ejecute gitleaks git --pre-commit --redact --staged --verbose y darle permiso de ejecución. Dame una orden de terminal segura que no sobrescriba hooks que ya existan, y explícame cada parte en una frase.
Siguiente nivel: la máquina del tiempo de Git
Ya sabes que el historial lo recuerda todo. Aprende a usarlo a tu favor: volver atrás cuando algo se rompe y publicar tu web con el portero puesto.
Siguiente misiónCómo deshacerlo
Desinstala gitleaks y borra la carpeta de práctica. Si pusiste el portero en proyectos de verdad, bórralo de cada uno con rm .git/hooks/pre-commit (Mac) o Remove-Item .git\hooks\pre-commit (Windows), dentro de la carpeta del proyecto.
$brew uninstall gitleaks$rm -rf ~/caza-clavesHaciendo esta misión juntos
Sé de los primeros en terminarla. Si te atascas, pregunta: quien ya la hizo te puede ayudar.