Cómo eliminar secretos de archivos de configuración de Kubernetes
Los manifiestos YAML de Kubernetes suelen mezclar la estructura del despliegue con información que no debería salir del clúster: tokens de servicio, claves de API, contraseñas codificadas en base64 y credenciales de registros privados. Antes de pegar un archivo en un ticket o en un asistente de IA, elimina esos valores sin destruir el contexto técnico.
Importante: base64 no es cifrado. Un valor en
data:puede seguir siendo una credencial recuperable.
Qué revisar en un YAML
Secrety camposstringDatacon contraseñas o tokens.- Variables de entorno como
AWS_SECRET_ACCESS_KEY,GITHUB_TOKENo claves internas. - URLs con usuario y contraseña incrustados.
- ConfigMaps que incluyan endpoints privados o material de autenticación.
La dificultad es mantener nombres, relaciones y sangría para que el equipo pueda diagnosticar el problema. Borrar bloques completos produce un archivo limpio, pero también puede ocultar la causa del fallo.
Sanea antes de compartir
- Exporta una copia de trabajo del manifiesto, nunca el archivo que usa el clúster.
- Pega la copia en ScrubForge.
- Revisa la vista previa: las claves y tokens deben convertirse en marcadores consistentes.
- Comprueba que los nombres de recursos, namespaces, puertos y referencias siguen visibles.
- Comparte solo el resultado saneado y conserva el original dentro de tu entorno seguro.
ScrubForge procesa el texto localmente en el navegador. Detecta patrones de secretos de servicios y mantiene el mismo token para una misma coincidencia, de modo que puedes explicar una relación sin revelar el valor real.
Antes de pegar el resultado
- Confirma que no queda ningún token válido en comentarios.
- Revisa valores codificados en base64 y URLs con credenciales.
- Comprueba que el YAML sigue siendo legible para quien lo recibirá.
Cuándo no basta con sanear
Si una credencial real ya fue publicada, considera que está comprometida: revócala y genera otra. El saneado evita una nueva exposición, pero no sustituye la rotación ni la revisión de permisos del clúster.
Preguntas frecuentes
¿ScrubForge decodifica todos los secretos de Kubernetes?
Detecta patrones sensibles y formatos habituales, pero debes revisar manualmente los campos propios de tu organización.
¿Puedo compartir el YAML original si solo contiene base64?
No. Base64 es una codificación reversible y no debe tratarse como protección.
¿Se sube el archivo a un servidor?
ScrubForge realiza el saneado localmente. Aun así, revisa el resultado antes de enviarlo a cualquier tercero.