Git Secret Scanner Skill

Detecta secrets en el historial git o en commits pendientes de push.

Triggers

• "escanea el historial"
• "busca secrets en git"
• "git secret scan"
• "hay secrets en el repo?"
• "gitleaks"

Uso rápido

Escanear historial completo

bash scripts/git-history-secret-scan.sh

Escanear solo desde un punto

bash scripts/git-history-secret-scan.sh --since HEAD~50
bash scripts/git-history-secret-scan.sh --since 2026-01-01
bash scripts/git-history-secret-scan.sh --since v1.0.0

Instalar hook pre-push (SE-247)

bash scripts/install-prepush-hook.sh

Outputs

Fichero	Contenido
output/security/history-scan-YYYYMMDD.jsonl	Findings completos (git-ignorado)
output/security/history-scan-YYYYMMDD-summary.md	Resumen legible
output/security/pre-push-findings.jsonl	Findings del hook pre-push

Todos en output/security/ — git-ignorado (N3, confidencial).

Exit codes

Code	Significado
0	Sin findings — repo limpio
1	Findings CRITICAL o HIGH
2	Solo findings MEDIUM o LOW

Severidad

Nivel	Qué incluye
CRITICAL	AWS keys, GCP tokens, GitHub PAT, private keys
HIGH	Contraseñas, certificados, credentials genéricos
MEDIUM	URIs con credenciales embebidas
LOW	Posibles falsos positivos, entropy alta sin regex match

Remediar un finding

bash scripts/git-history-secret-remediate.sh --commit <hash> --file <path>

El script genera los comandos git-filter-repo o BFG — no los ejecuta. El humano revisa y ejecuta con coordinación del equipo.

Gitleaks no instalado

El script detecta automáticamente si gitleaks está disponible y muestra instrucciones de instalación + alternativa Docker:

docker run --rm -v "$(pwd):/path" zricethezav/gitleaks:latest detect --source /path

Allowlist

Editar .gitleaks.toml en la raíz para excluir falsos positivos:

• Hashes SHA256 de firmas de confidencialidad Savia (diff_hash=, signature=)
• Fixtures de test
• Ejemplos en documentación