Gestión de Secrets y variables de entorno

Las canalizaciones necesitan tokens y contraseñas para acceder a registros y destinos en la nube. Codificarlos directamente permite que cualquiera con acceso al repositorio los vea; eso es lo que impiden los secretos.

Añada secretos en la configuración del repositorio, la organización o el entorno. Se cifran en reposo y solo se exponen a los flujos de trabajo como valores enmascarados.

Haga referencia a un secreto mediante el contexto secrets y, después, páselo a un paso como variable de entorno o entrada de una acción. Aquí se proporciona a un script de despliegue.

GitHub enmascara automáticamente los secretos en los registros como ***. Aun así, nunca imprima un secreto ni lo conserve; las transformaciones como base64 pueden eludir el enmascaramiento y filtrarlo.

Para configuraciones no sensibles, como una región o una opción de compilación, use variables mediante el contexto vars. Son visibles en la interfaz, lo cual no supone un problema cuando no hay secretos.

Cada ejecución recibe un GITHUB_TOKEN automático para autenticarse en el repositorio. Limite estrictamente su alcance con la clave permissions: siga el principio de mínimo privilegio.

Un entorno como staging o production agrupa secretos y añade reglas de protección — revisores obligatorios, temporizadores de espera y límites de ramas — antes de ejecutar un despliegue.

Con un entorno protegido, un trabajo de despliegue se pausa hasta que un revisor designado lo aprueba: un control humano deliberado antes de producción.

Los secretos nunca se pasan a los flujos de trabajo desde PR de forks, por lo que un colaborador no confiable no puede robárselos. Diseñe la CI para que los PR de forks no necesiten secretos.

Trate cada secreto como reemplazable. Cuando se filtre o caduque, solo tiene que actualizarlo en la configuración; la siguiente ejecución usa el nuevo valor sin cambiar el código.

La guía práctica: secretos para valores sensibles, variables para el resto, un GITHUB_TOKEN con alcance limitado, entornos que protejan producción y nunca registrar un secreto.

¿Secreto o variable, enmascarado o visible: cuál corresponde en cada caso?

Ahora puede gestionar secretos y variables de forma segura: almacenarlos cifrados, leerlos mediante el contexto secrets, limitar el alcance del token y proteger los despliegues con entornos.