Protección de Git en DevOps: secretos, firma y hooks
Aprenda a mantener los secretos fuera de Git, verificar la autoría con commits firmados y aplicar políticas automáticamente mediante hooks en pipelines de DevOps y automatización.
Protección de Git en DevOps: secretos, firma y hooks es una lección gratuita de Git Advanced: Monorepo, Submodules & Workflows en CoddyKit. Esta es la lección 4 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de Git Advanced: Monorepo, Submodules & Workflows, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de Git Advanced: Monorepo, Submodules & Workflows incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Git Is a Security Surface
In DevOps, Git drives deployments. That makes the repository a security surface: a leaked secret or a forged commit can compromise production. Securing Git is part of securing the pipeline.
Keep Secrets Out of History
Never commit API keys, tokens, or passwords. Once in history, a secret is effectively public forever, even after deletion, because the old commit still contains it.
Use a .gitignore and environment variables instead.
.env
*.pem
secrets/
config/credentials.jsonScanning for Leaked Secrets
Automated scanners catch secrets before they merge. Wire one into CI so a leaked token fails the build.
gitleaks detect --source . --verboseIf a Secret Leaks
If a secret reaches the remote, two steps are mandatory:
- Rotate the credential immediately — assume it is compromised
- Purge it from history with a tool like
git filter-repo
Rotation matters more than purging.
git filter-repo --path config/credentials.json --invert-pathsSigning Commits
Signed commits prove who authored them. In automated environments this prevents impersonation and lets pipelines trust commit authorship.
git config commit.gpgsign true
git commit -S -m 'Deploy config update'Verifying Signatures
CI can require that every commit on a protected branch is signed and verified, rejecting unsigned or unknown-key commits before they deploy.
git log --show-signature -1
git verify-commit HEADClient-Side Hooks
Hooks run scripts at Git lifecycle events. A pre-commit hook can block secrets or run linters before a commit is ever created.
#!/bin/sh
# .git/hooks/pre-commit
gitleaks protect --staged || exit 1Server-Side Hooks
Client hooks can be bypassed. Server-side hooks (pre-receive) enforce policy centrally, rejecting non-compliant pushes for everyone, no matter their local setup.
#!/bin/sh
# pre-receive: reject force pushes to main
while read old new ref; do
if [ "$ref" = 'refs/heads/main' ]; then
echo 'Direct pushes to main are blocked'; exit 1
fi
doneBranch Protection as Policy
Platform branch-protection rules complement hooks: require reviews, passing CI, and signed commits before merge. Policy enforced at the platform cannot be bypassed locally.
Least Privilege for Automation
Deploy bots should use scoped, short-lived tokens, not personal credentials. Grant only the access a job needs, and rotate tokens regularly to limit blast radius.
Auditing the Audit Trail
Git history and platform logs form an audit trail. Protect them: disallow history rewrites on shared branches and review who has admin rights, so the record of what shipped stays trustworthy.
Quick Check
Test your understanding of Git security in DevOps.
Recap
You learned to secure Git in DevOps: keep secrets out of history, scan automatically, rotate then purge on leaks, use signed commits, enforce policy with client and server-side hooks and branch protection, and apply least privilege to automation tokens.
Preguntas frecuentes
¿La lección «Protección de Git en DevOps: secretos, firma y hooks» es gratis?
Sí — el texto completo de «Protección de Git en DevOps: secretos, firma y hooks» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de Git Advanced: Monorepo, Submodules & Workflows, actualiza a CoddyKit PRO. El curso de Git Advanced: Monorepo, Submodules & Workflows incluye 4 lecciones en total.
¿Qué aprenderé en «Protección de Git en DevOps: secretos, firma y hooks»?
Aprenda a mantener los secretos fuera de Git, verificar la autoría con commits firmados y aplicar políticas automáticamente mediante hooks en pipelines de DevOps y automatización. Practicas Git Advanced: Monorepo, Submodules & Workflows con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar Git Advanced: Monorepo, Submodules & Workflows?
No se requiere experiencia previa. Git Advanced: Monorepo, Submodules & Workflows en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 4 de 4.
¿Cuánto tiempo toma la lección «Protección de Git en DevOps: secretos, firma y hooks»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de Git Advanced: Monorepo, Submodules & Workflows?
Sí. Cada lección de Git Advanced: Monorepo, Submodules & Workflows incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Principios e implementación de GitOps
- Automatización de tareas de Git con scripts
- Integración de Git con CI/CD
- Protección de Git en DevOps: secretos, firma y hooks