Si buscas "alternativas gratis para sanitizar configuraciones", vas a encontrar dos tipos de herramientas muy distintas: utilidades de scripting generales que se pueden adaptar (bash, VSCode, CyberChef), y una ola creciente de extensiones de navegador construidas específicamente para redactar texto antes de pegarlo en un chat de IA. Casi ninguna del segundo grupo sabe qué aspecto tiene una contraseña de vecino BGP o una cadena de comunidad SNMP. Aquí va una comparación honesta de ambos mundos.
La ruta de scripting: bash, VSCode, CyberChef
Qué te dan realmente
- Comandos bash (
sed/grep) — rápidos si ya sabes el patrón exacto a eliminar, pero escribes regex nueva para cada fabricante y cada formato de credencial, y un patrón olvidado significa que una contraseña real sale en el paste. - Regex manual en VSCode — la misma idea con interfaz gráfica e historial de buscar/reemplazar, útil para algo puntual, tedioso para un flujo recurrente, sigue sin conocer nada de fabricantes.
- CyberChef — corre íntegramente en tu navegador, que es el modelo de privacidad correcto, y sus recetas de "Find / Replace" y "Extract" se pueden encadenar en algo funcional. Pero construyes la receta tú mismo, desde cero, por fabricante.
Son opciones legítimas si solo tocas la sintaxis de un fabricante y te sientes cómodo manteniendo tu propia biblioteca de regex. Dejan de escalar en el momento en que pegas configs de tres marcas de firewall distintas en la misma semana.
La ruta de extensión de navegador: herramientas genéricas de privacidad IA
Existe una categoría aparte para un problema distinto: quitar datos personales (emails, nombres, números de tarjeta) antes de pegar en ChatGPT o Claude. Varias opciones gratuitas y de código abierto hacen esto bien para ese caso de uso — vale la pena conocerlas aunque resuelvan un problema distinto al de una config de red:
Qué cubren los redactores genéricos de PII/secretos, y qué no
- Cubren bien: emails, formatos genéricos de claves de API (
sk-...,ghp_...), números de tarjeta, teléfonos — el tipo de PII que aparece en cualquier texto, no solo en configs de red. - No cubren: sintaxis específica de fabricante. Ninguno reconoce una línea
enable secretde Cisco, unset psksecretde FortiGate, o un export de MikroTik RouterOS lo bastante bien como para capturar todos los formatos de credencial que contiene — porque no fue construido para eso. - No cubren: la diferencia entre un hash fuerte y uno reversible. Una contraseña Cisco tipo 7 es trivialmente reversible; un hash bcrypt no lo es. Los redactores genéricos enmascaran ambos igual, si es que detectan el patrón — no tienen ningún concepto de fortaleza de credencial.
Si tu único objetivo es "no pegar mi email en ChatGPT", un redactor genérico es una opción decente, muchas veces gratis. Si tu objetivo es "no pegar la contraseña de mi vecino BGP ni mi cadena de comunidad SNMP en ChatGPT", no está construido para eso, y probar varios contra exports reales de router/firewall muestra siempre el mismo hueco: procesan el texto, pero los secretos específicos de la config pasan sin tocar.
Dónde una herramienta específica de red cambia el resultado
También existe una categoría más pequeña y antigua construida específicamente para configs de red — herramientas de línea de comandos como Netconan, pensadas para ISPs y MSPs que necesitan entregar una config saneada a un cliente o un fabricante. Son sólidas para ese caso de uso original: procesar archivos en lote antes de que salgan de una cola de soporte. Para lo que no fueron construidas es para el momento en que quieres pegar una config en un asistente de IA y hacerle una pregunta — no hay flujo dentro del navegador, no hay chat BYOK, no hay copiar con un clic.
Una línea enable secret 5 $1$... de Cisco, un bloque set psksecret ENC ... de FortiGate, un export de MikroTik RouterOS con una frase de paso WPA incrustada, una message-digest-key de OSPF, una clave de servidor TACACS+ — todo esto sigue una sintaxis específica de fabricante que un escáner de PII genérico no tiene motivo para conocer, y que un anonimizador CLI de propósito general no tiene motivo para exponer en un flujo de pegar y preguntar.
Tabla comparativa
| Herramienta | Análisis consciente del fabricante | Dónde corre | Chat de IA integrado | Coste |
|---|---|---|---|---|
| bash / sed / grep | No (lo escribes tú) | Terminal | No | Gratis |
| Regex manual en VSCode | No (lo escribes tú) | Editor | No | Gratis |
| CyberChef | No (construyes la receta) | Navegador, cliente | No | Gratis |
| Anonimizadores CLI tipo Netconan | Parcial (multi-fabricante, sin análisis de claves de autenticación a nivel de protocolo) | Terminal / pipeline CI | No | Gratis, código abierto |
| Extensiones genéricas de privacidad IA | No | Navegador | Varía, normalmente una plataforma | Mayormente gratis |
| ScrubForge | Sí, 12 perfiles de fabricante + secretos a nivel de protocolo (BGP, OSPF, HSRP, TACACS+, RADIUS, SNMP) | Extensión de navegador | Sí, BYOK con 5 proveedores | Nivel gratis, Pro de pago |
Cuál usar en realidad
- Algo puntual, un solo fabricante, conoces el patrón exacto: un comando bash o una receta de CyberChef es genuinamente más rápido de escribir una vez que de instalar cualquier otra cosa.
- Recurrente, varios fabricantes, necesitas entregar un archivo a otra persona: un anonimizador CLI tiene la forma correcta para un pipeline, aunque no haya paso de chat de IA.
- Recurrente, quieres pegar en ChatGPT/Claude/Gemini y preguntar sin revisar cada línea a mano: ninguna de las anteriores se construyó para ese flujo específico — es el hueco que llena ScrubForge, con detección consciente del fabricante más un chat BYOK integrado que solo ve la versión tokenizada de tu config.
Preguntas frecuentes
¿Es seguro usar CyberChef para sanitizar configs de red?
Sí, desde el punto de vista de privacidad — corre íntegramente en tu navegador sin llamadas a servidor. La limitación no es de privacidad, es de cobertura: CyberChef no sabrá qué partes de una config de router o firewall son sensibles a menos que construyas esa lógica tú mismo, fabricante por fabricante.
¿Las extensiones genéricas de privacidad para ChatGPT capturan contraseñas de router y firewall?
No de forma fiable. Están construidas para capturar PII genérica y formatos comunes de claves de API, no sintaxis específica de fabricante como un enable secret de Cisco, un PSK de FortiGate, o una cadena de comunidad SNMP. Pruébalas contra un export real de config y revisa la salida línea por línea antes de confiar en ellas con credenciales de producción.
¿Cuál es la diferencia real entre un anonimizador CLI y ScrubForge?
Herramientas CLI como Netconan están construidas para procesar en lote archivos de config antes de entregarlos a un tercero, de MSP a cliente o de ISP a fabricante. ScrubForge está construido para el flujo de pegar y preguntar a la IA: una extensión de navegador con menú contextual, detección de fabricante, y un chat BYOK opcional que solo ve tokens, nunca tus credenciales reales.
¿Existe una forma completamente gratuita de sanitizar una config antes de pegarla en una herramienta de IA?
Sí. El nivel gratuito de ScrubForge cubre el motor de detección principal, los 12 perfiles de fabricante y los tokens conscientes del formato, sin necesidad de cuenta. El nivel de pago añade el chat de IA integrado, el escaneo profundo de entropía y el procesamiento por lotes.