claves API
4 artículos con esta etiqueta
Brecha de OpenCode Console (octubre de 2026, 1,4 % de los usuarios de Console): claves de API de proveedores de IA posiblemente expuestas, y qué hacer
El 17 de octubre de 2026, OpenCode, el agente de programación con IA de código abierto, dijo en su cuenta oficial de X que la noche anterior había sufrido una brecha de seguridad, relacionada con un ataque de destilación a gran escala, que afectó al 1,4 % de los usuarios de OpenCode Console. Dijo que esa mañana había enviado un correo a todos los usuarios afectados, que los usuarios que no recibieron el correo no estaban afectados y que los afectados eran un subconjunto que tenía proveedores externos vinculados. La empresa dijo que el incidente seguía en curso, que no podía dar más detalles y que estaba trabajando con los proveedores de IA implicados. Según informaciones de prensa sobre el correo y sobre declaraciones de la empresa, las claves de API de proveedores de IA externos que los usuarios habían guardado en workspaces de Console pueden haber quedado expuestas a través de un sistema antiguo, y se indicó a los usuarios afectados que revocaran y sustituyeran esas claves directamente con cada proveedor. Un cofundador dijo que la app de código abierto y la herramienta de línea de comandos no se vieron afectadas. La opinión de este sitio: si recibió el correo, o tenía claves de proveedores de IA vinculadas en OpenCode Console y no está seguro, revóquelas hoy en el panel de cada proveedor y revise el uso y la facturación desde el 17 de octubre.
Acceso no autorizado al creador de sitios web Studio: los datos de todos los usuarios y los envíos de formularios podrían haberse filtrado — qué deben hacer quienes enviaron formularios y los propietarios de sitios
El 16 de octubre de 2026, Studio Inc. anunció que un tercero había obtenido acceso no autorizado al entorno de nube que utiliza y que los datos de todos los clientes registrados en su creador de sitios web Studio podrían haberse filtrado. El tercero aprovechó una vulnerabilidad en algunas funciones de Studio para acceder al entorno y dejó sus datos al alcance desde el exterior. El periodo de acceso no autorizado confirmado va del 30 de septiembre al 1 de octubre de 2026 (hora de Japón); la empresa lo detectó en una investigación interna el 13 de octubre y terminó de corregir la vulnerabilidad y cerrar la vía el 13 y 14 de octubre. Los datos que podrían haberse filtrado incluyen datos de cuenta (nombres de usuario, direcciones de correo electrónico, contraseñas con hash y más), el contenido del editor de diseño y del CMS, el contenido de los formularios enviados en sitios creados con Studio, URL de vista previa en vivo, claves API y tokens de servicios externos registrados en integraciones API, contraseñas de páginas protegidas con contraseña y URL de notificación de webhooks. Algunos datos almacenados cifrados también podrían haberse leído, porque la clave necesaria para descifrarlos se leyó en el mismo acceso. La empresa no ha confirmado que un tercero haya sustraído realmente los datos, pero los trata como sustraídos. El número de personas afectadas y si ha habido algún uso indebido están en investigación. Empresas y organizaciones que crearon sitios con Studio también han indicado que los datos personales enviados a través de sus formularios podrían haberse filtrado: Luup indicó 21.368 registros, Link-U Group 7.663, TRUSTART unos 1.440 y el Museo Bosque Verde de Saitama, de la Prefectura de Saitama, 162. La Agencia Digital de Japón comunicó el 22 de octubre, tras haberle informado Studio Inc. del incidente el 16 de octubre, que las consultas introducidas en los formularios de contacto de su sitio web entre mayo de 2021 y marzo de 2023 (cinco categorías, hasta 8.833 registros en la mayor; hasta 13.323 en total, según la suma de este sitio) y 35 registros de cuentas de Studio podrían haberse filtrado. Sobre la notificación a la Comisión de Protección de Información Personal de Japón (PPC), Studio Inc. pidió primero el 17 de octubre a los usuarios de formularios que pospusieran las notificaciones individuales y luego indicó el 20 de octubre que, tras conversar con la PPC, los clientes pueden elegir entre notificar individualmente o de forma conjunta con Studio (en ambos casos, los clientes siguen decidiendo si notifican a las personas afectadas). El 19 de octubre añadió a su página de orientación que incluso las respuestas que son ofertas comerciales, spam o que plantean preocupaciones de seguridad exigen, en principio, notificar a la persona si contienen información que la identifica. Conclusión de este sitio: si envió un formulario en un sitio creado con Studio, revise el aviso del propietario de ese sitio y no abra enlaces de mensajes que mencionen lo que envió. Los propietarios de sitios deben cambiar su contraseña y rotar las claves de integración en el orden que indica Studio Inc.
Detén los secretos antes de hacerles commit con gitleaks: atrapa fugas de claves de API antes del push
Los secretos no se pueden «borrar después de que se filtran». Una vez con commit, un secreto se queda en el historial de Git, y una vez con push debe tratarse como filtrado — la clave necesita revocarse/rotarse. gitleaks es una herramienta gratuita que escanea todo el repo y el historial de commits con regex/entropía para encontrar claves de API, claves privadas y tokens. El núcleo de la defensa son dos comprobaciones: un hook de pre-commit que lo detiene localmente antes del push, y CI/cron que atrapa lo que se cuela. .gitignore solo evita el nuevo seguimiento — no puede detectar, así que aún necesitas un escáner.
Fundamentos de seguridad: qué es lo realmente peligroso de .env y las claves de API
Empieza aquí. Entiende qué pasa cuando se filtran .env y las claves de API (alguien usa el servicio como si fueras tú y te lo facturan a ti), luego adopta cuatro hábitos hoy: no exponerlas, no hacerles commit, rotar todo si se filtran, y autocomprobar.