Solución / Exposición de código
Detección de exposición de código en código público y en los repositorios de sus desarrolladores
Buscamos en GitHub, GitLab, Gists, Postman y más de 50 sitios mediante Google dorking su dominio, su marca y sus nombres internos. Cada hallazgo recibe una puntuación de riesgo y una nota sobre qué hacer.
- No se necesita acceso a sus repositorios
- Una palabra clave cuenta una vez, en todas las fuentes
- Monitorización constante, con API y webhooks
- northwind-example: 31 repositorios analizados, 12 contribuidores, 4 secretos encontrados.
- ana-example/dotfiles, .env.backup (GitHub): URL de base de datos, riesgo 10/10, subido hace 2 días. Un archivo de entorno de copia de seguridad contiene la URL de la base de datos de producción con la contraseña incluida y una clave de acceso a la nube.
- hana-example/vpn-config, README.md (GitHub): nombre de host interno, riesgo 5/10, subido hace 5 días. Nombres de host internos y la dirección de un jump host, pero sin secretos.
- gist anónimo, deploy.sh (Gist): token de API, riesgo 8/10, subido hace 6 horas. Un script de despliegue con un token para el endpoint de publicación.
- workspace público, Partner API (staging) (Postman): mapa de API, riesgo 6/10, compartido hace 3 días. Una colección pública mapea la API del partner, incluido el endpoint de tokens.
- chen-example/k8s-lab, deploy/values-prod.yaml (GitHub): clave privada, riesgo 9/10, subido hace 4 días. Los valores del chart de producción incluyen la clave privada TLS del host de la API.
- jun-example/side-project, src/config.js (GitHub): mención del dominio, riesgo 2/10, subido hace 9 días. El dominio aparece solo en un comentario.
- registro público de CI, compilación 1842 (Google dorking): token Bearer, riesgo 7/10, registrado hace 1 día. Un registro de compilación público imprime una cabecera Authorization de la API de staging.
- northwind-example/ops-playbooks, group_vars/prod.yml (GitLab): nombre de host interno, riesgo 4/10, subido hace 12 días. Nombres de host de producción y una dirección interna en un proyecto público.
- fuentes en un análisis
- 5
- sitios mediante Google dorking
- 50+
- formatos de secretos reconocidos
- 150+
- puntuación de riesgo, explicada
- 0–10
Por qué importa
Un push, y una clave queda pública.
Los desarrolladores copian configuraciones en repos personales, pegan scripts en gists y comparten colecciones de API. Los escáneres automáticos leen código público constantemente, y una clave válida no necesita ningún exploit.
ana-example/dotfiles«copia de seguridad de mi env»
+ .env.backup
NORTHWIND_DB_URL=postgres://app:[redacted]@db.northwind.example:5432/coreNORTHWIND_CLOUD_KEY=[redacted]NORTHWIND_SMTP_HOST=mail.northwind.example
Riesgo 10/10Encontrado por un análisis por palabra clave:
NORTHWIND_Qué se filtra
- Claves y tokensClaves de nube, tokens de API y claves privadas que siguen funcionando.
- Cadenas de conexiónURL de bases de datos y colas con la contraseña incluida.
- Mapas internosHostnames, endpoints y espacios de nombres que guían a un atacante.
- Datos en archivos de pruebaDatos de prueba y exportaciones con registros reales de clientes.
Qué obtiene
- Visión desde fueraSolo fuentes públicas: no necesita acceso a sus repositorios.
- EvidenciaRepositorio, ruta del archivo, líneas coincidentes y un enlace directo.
- PrioridadesUna puntuación de riesgo de 0 a 10 con un motivo escrito, de mayor a menor.
- Siguiente pasoRote la clave, elimine el archivo y hable con el desarrollador.
Dos formas de analizar
Busque en todas partes, o empiece por sus desarrolladores.
La acción principal es siempre un análisis por palabra clave. En GitHub y GitLab puede primero identificar quién contribuye a su organización y después analizar los repositorios que esas personas poseen.
Ejecute un análisis una vez o manténgalo bajo monitorización constante. Una palabra clave cuenta como una búsqueda, en cuantas fuentes se ejecute; un análisis de colaboradores cuenta también como una.
Fuentes
Cinco fuentes, un análisis.
Ejecútelas juntas o una por una. Cada fuente tiene sus propias opciones, de modo que un análisis puede ser amplio o muy preciso.
Busque lo que rodea a un secreto, no el secreto.
- Dominio
- northwind.example
- Producto o marca
- NorthwindAPI
- Espacio de nombres interno
- com.northwind
- Servicio o paquete
- auth-service-northwind
- Prefijo de variable de entorno
- NORTHWIND_
- Host de la API
- api.northwind.example
No utilice nunca una clave, contraseña o token reales como palabra clave.
GitHub
Contenido de archivos en repositorios públicos.
Todo GitHub, los repositorios que elija o los repositorios de desarrolladores seleccionados.
OpcionesHasta 1.000 resultados por palabra clave
Resultados
Cada coincidencia puntuada, y explicada.
Cada hallazgo muestra dónde está, las líneas coincidentes y una puntuación de riesgo de 0 a 10. La IA lee cada fragmento y redacta por qué importa y qué hacer.
- Puntuación de patronesMás de 150 formatos de secretos conocidos, como claves privadas, claves de nube y tokens de API, elevan la puntuación.
- Puntuación de IAUna valoración de cada fragmento, con una breve justificación escrita.
- Un númeroEl riesgo es el más alto de los dos. 7 o más es alto, de 4 a 6 medio.
- ExportarOrdene por riesgo o fecha, abra los datos sin procesar (raw data), exporte a CSV, JSON o XML.
Historial de análisis
| Origen | Palabras clave | Estado | Resultados |
|---|---|---|---|
| NORTHWIND_, api.northwind.example, northwind.example | Completado | 37 | |
| NORTHWIND_ | Completado | 6 | |
| api.northwind.example | Completado | 4 | |
| northwind.example | Completado | 3 | |
| northwind.example | Completado | 12 |
5 análisis con una sola solicitud · 3 palabras clave únicas = 3 búsquedas, sea cual sea el número de fuentes
Monitorización y API
Monitorización constante, y cada análisis en sus herramientas.
Mantenga sus palabras clave bajo vigilancia constante, inicie análisis y lea los resultados mediante la REST API, o consulte a un asistente de IA a través de nuestro servidor MCP. El panel y la API comparten un único historial de análisis y un único cupo.
- Monitorización constanteSus palabras clave permanecen bajo vigilancia, de modo que los nuevos hallazgos llegan sin iniciar un análisis a mano.
- REST APIInicie análisis de palabras clave y de colaboradores, consulte su estado, lea los hallazgos ordenados por riesgo y expórtelos.
- Servidor MCPPida a un asistente de IA que inicie o lea análisis de código. Las búsquedas solo se consumen tras su confirmación.
- IncluidoLa API y los webhooks se incluyen en todos los planes que incluyen exposición de código.
POST /api/code_scan/contributor_scans/custom_links: github.com/northwind-example201 · PENDIENTE · 1 búsqueda utilizadaGET /api/code_scan/contributor_scans/{id}/RUNNING · progress 60SUCCESS · 12 colaboradores · repositorios por desarrolladorana-example · 3 repos · chen-example · 2 repos · …a continuación: analizar sus repositorios con sus palabras clave
X-API-Key por espacio de trabajo · un único historial de análisis para el panel y la API · exportación en CSV, JSON o XML
Búsquedas
Búsquedas mensuales, ampliables en cualquier momento.
Code exposure incluye un cupo mensual de búsquedas por palabra clave y búsquedas por colaborador. ¿Necesita más? Añada un paquete desde el panel cuando quiera.
- 1 palabra clave = 1 búsquedaCon independencia de cuántas fuentes abarque en una solicitud.
- 1 análisis de colaboradores = 1 búsquedaUna organización o un grupo entero de una vez.
- Uso gratuitoLas consultas de estado, los resultados, las exportaciones y las plantillas no cuestan nada.
- Reinicio mensualLos cupos se renuevan el día 1. Pueden añadirse paquetes en cualquier momento.
Uso mensual
Búsquedas por palabra clave6/8 usadas
Añadir búsquedas por palabra clave ↗Búsquedas por colaborador2/8 usadas
Añadir búsquedas por colaborador ↗| Pro | 8 búsquedas por palabra clave + 8 por contribuidor |
|---|---|
| MSSP Small | 5 búsquedas por palabra clave + 5 por contribuidor |
| MSSP Large | 15 búsquedas por palabra clave + 15 por colaborador |
Detalles
Todo sobre la exposición de código, en breve.
GitHub
- Contenido de archivos en repositorios públicos
- Todo GitHub, repositorios elegidos o repositorios de desarrolladores
- Frase exacta, todas las palabras o cualquiera de ellas
- Lenguajes, rutas, extensiones de archivo, intervalo de fechas, regex
GitLab y Gists
- GitLab: los proyectos y usuarios que indique, rama principal
- Gists: gists públicos y anónimos
- Gists: búsqueda por frase, usuario, extensión o nombre de archivo
- Solo gists bifurcados, si lo desea
Postman y Google dorking
- Postman: espacios de trabajo, colecciones y solicitudes públicos
- Google dorking: más de 50 sitios en seis categorías
- Hasta 2 sitios adicionales y sitios que excluir
- Intervalo de fechas de las páginas indexadas
Mapear
- Empiece desde una organización de GitHub, o desde un grupo o proyecto de GitLab
- Hasta 100 repositorios públicos por organización de GitHub, sin forks ni bots
- Hasta 20 proyectos por grupo de GitLab
Elegir
- Todos los colaboradores con enlace de perfil y número de repositorios
- Elija hasta 10 desarrolladores para investigar
- Sus repositorios públicos pasan a ser el ámbito del análisis
Analizar
- Un análisis de palabras clave de GitHub limitado a esos repositorios
- La misma puntuación y exportación que cualquier otro análisis
- Vuelva a ejecutarlo cuando cambie el equipo
Patrones
- Más de 150 formatos de secretos conocidos
- Cada coincidencia, como una clave privada, una clave de nube o un token de API, suma de 2 a 4 puntos
- Sus propios patrones regex también elevan la puntuación
IA
- Una evaluación por IA de cada fragmento
- Una puntuación de 0 a 10 y una breve justificación
- Qué es, si parece activa y qué hacer
Riesgo
- La más alta entre la puntuación por patrones y la puntuación de IA
- 7 o más es alto, de 4 a 6 medio
- Los hallazgos se ordenan por riesgo de forma predeterminada
Recuento
- 1 búsqueda por palabra clave única en una sola solicitud, en todas las fuentes
- 1 búsqueda por análisis de colaborador
- Las consultas de estado, los resultados, las exportaciones y las plantillas son gratuitos
Cupo
- Búsquedas mensuales por palabra clave y por colaborador según el plan
- Se renueva el día 1; las búsquedas no utilizadas no se acumulan
- Los paquetes pueden añadirse en cualquier momento desde el panel
Límites
- Hasta 10 análisis por palabra clave simultáneos
- Hasta 10 análisis por palabra clave y 2 por colaborador iniciados por minuto
- Resultados por palabra clave limitados por fuente
- Solo buscamos en fuentes públicas y nunca necesitamos acceso a sus repositorios
- Los hallazgos y el historial de análisis pertenecen a su espacio de trabajo; otros espacios de trabajo nunca los ven
- Elimine un análisis y sus hallazgos en cualquier momento
- Los datos de los clientes se alojan en Alemania
- Solo fuentes públicas: los repositorios privados y los servidores Git internos quedan fuera del alcance
- Los análisis de GitLab leen los proyectos de gitlab.com en su rama principal
- Google dorking encuentra lo que los buscadores han indexado
- La puntuación le ayuda a priorizar. Trate cualquier clave real que encuentre como comprometida
Empezar
Vea lo que el código público dice de usted.
Empiece una prueba gratuita o reserve una demo y le mostramos un análisis de código para su propio dominio.