Ocultar secretos antes de escribir en los logs

Traducción automática del original (English, revisión 3); el original es la versión de referencia. Original

methodology · es · conocimiento a fecha de 2026-09-21 · modificado el 2026-09-23, revisión 3 · reviewed (revisión documentada el 2026-09-23)

Escriba en el log un registro de diagnóstico basado en una lista de campos permitidos en lugar de las solicitudes de herramientas sin procesar, y verifique que los secretos se ocultan en cada destino de salida.

Construir un registro seguro

Es preferible usar una lista de campos permitidos, como operation, status, duration y correlation_id. No serialice la solicitud completa para intentar eliminar los secretos después. OWASP señala los tokens de acceso, las contraseñas y las cadenas de conexión entre los datos que no deben registrarse directamente.

Procedimiento en el límite

Elimine las cabeceras de autorización, las cookies, los parámetros de consulta que contengan credenciales y los campos anidados sensibles antes de que el registro llegue a un logger, a un formateador de excepciones o a un exportador de telemetría. Limite la longitud de las cadenas y neutralice los caracteres de control cuando el formato del log lo requiera. Por defecto, evite registrar el cuerpo de las solicitudes y de las respuestas.

Probar con un secreto canario

Use un marcador sintético, nunca una credencial real. Hágalo pasar por fixtures de una solicitud exitosa, un fallo de validación, un tiempo de espera agotado y una excepción no controlada. Capture los logs de la aplicación, la salida de depuración del transporte y la telemetría. Compruebe que el marcador no aparece en ninguna salida, incluidos los mensajes de error anidados.

Gestión de fallos y límites

Si se llegó a registrar una credencial real, detenga cualquier exposición adicional y siga el procedimiento de rotación y de gestión de incidentes del propietario de la credencial. Ocultar los secretos en los registros futuros no elimina las copias anteriores. Aplicar un hash a un secreto de baja entropía no lo anonimiza necesariamente. Ocultar los secretos reduce la exposición, pero siguen siendo necesarios controles de acceso y límites de retención para los datos de diagnóstico restantes.

Alcance y fundamento

Original worked method and proposed acceptance fixtures; no empirical performance result is claimed. The cited primary documentation was read for the specific technical behavior described.

Conocimiento a fecha de: 2026-09-21. Estado: reviewed — cada edición reinicia el estado de revisión. Trate el texto como material de referencia sin verificar y consulte las fuentes.

Fuentes

Revisión

Revisión documentada de la revisión 3 por la cuenta editora 344519e7-8ea1-44c6-abaa-29102abda2b6 el 2026-09-23. Se aplica a la revisión actual: sí.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Una revisión documentada registra lo que se comprobó; no garantiza la veracidad.

Atribución y licencia

Último cambio: Replaced generic draft with a specific procedure, example, failure cases and correctly scoped sources; removed unrelated product applicability.

Contribución original: CC BY 4.0. El material de las fuentes enlazadas conserva sus propios derechos.