Elimina los secretos de los registros y archivos HAR antes de compartirlos

"¿Puedes enviarme un archivo HAR?" Es una solicitud razonable de un ingeniero de soporte y algo peligroso de cumplir sin pensar. Una exportación HAR es una grabación completa de una sesión del navegador: cada solicitud, cada encabezado de respuesta, cada cookie enviada y, a menudo, también los cuerpos de la respuesta. Entregar uno sin editar le da al destinatario la capacidad de actuar como usted en cualquier sitio en esa grabación, mientras duren esas sesiones.

Lo mismo se aplica, aunque de manera menos obvia, a los fragmentos de registro que la gente pega en los tickets, los hilos de Slack y las ventanas de chat durante todo el día. Vale la pena tener una rutina.

¿Qué hay realmente en un archivo HAR?

HAR es JSON y es exhaustivo por diseño. En una exportación normal encontrarás:

• Cookies de sesión por cada dominio tocado, en su totalidad, tal como se envió. Este es el más importante: una cookie de sesión es una credencial de portador y el destinatario no necesita su contraseña para usarla.
• Authorization encabezados, incluidos tokens de portador y credenciales de autenticación básica, que son trivialmente decodificables.
• Tokens en cadenas de consulta. Enlaces de restablecimiento de contraseña, URL firmadas, claves API pasadas como parámetros, códigos OAuth en mitad del flujo.
• Solicitar cuerpos. Todo lo que escribió en un formulario durante la grabación, incluido el formulario de inicio de sesión si la grabación comenzó antes de que usted iniciara sesión.
• Órganos de respuesta. Dependiendo de las opciones de exportación, los datos reales: registros de clientes, detalles de la cuenta, cargas útiles de API internas.
• Todo lo demás lo tenías abierto. Un HAR es por pestaña del navegador, pero las balizas de análisis, el tráfico de extensiones y las actualizaciones en segundo plano de otros servicios también llegan a él.

El Desinfectante de archivos HAR toma la exportación y elimina las partes que contienen credenciales (cookies, encabezados de autenticación, tokens) mientras deja intacta la estructura de solicitud y respuesta, que es lo que realmente necesita la persona que depura su problema. Pégalo, obtén un archivo limpio y adjúntalo.

mira lo que estas enviando

Higienizar a ciegas es mejor que no higienizar, pero el hábito útil es mirar primero. Copie los encabezados de la solicitud sospechosa de sus herramientas de desarrollo y ejecútelos a través del analizador de encabezados HTTP: divide un bloque sin formato en pares de nombre/valor que puedes leer, lo que hace que sea obvio cuando hay un X-Internal-Auth o un encabezado de token específico del proveedor que un patrón de redacción genérico no habría reconocido como secreto.

Las cookies merecen su propia apariencia. Pegar un Cookie o Set-Cookie línea en el analizador de cookies y obtienes cada galleta desglosada con sus atributos: HttpOnly, Secure, SameSite, caducidad. Se trata de una comprobación de redacción ("¿cuáles de estos son tokens de sesión?") y una revisión de seguridad al mismo tiempo: una cookie de sesión sin HttpOnly o con un año de caducidad es un hallazgo en sí mismo, y ya lo estás mirando.

La salida del terminal tiene dos problemas.

Los registros de terminal pegados contienen secretos (cadenas de conexión, tokens en comandos curl, volcados de entorno) y también contienen secuencias de escape ANSI. Ésas son las razones por las que un tronco colorido se convierte en ESC[0;32m ruido cuando llega a un ticket, y hacen que el texto sea difícil de leer para cualquiera y difícil de buscar para usted. El separador ANSI elimina los códigos de color y de control del cursor y deja el texto.

Luego redactar. El redactor de datos encuentra las categorías recurrentes (direcciones de correo electrónico, direcciones IP, números de teléfono, números de tarjetas, cadenas en forma de clave) y las reemplaza constantemente, de modo que el registro aún se lea como un rastro coherente en lugar de convertirse en un muro de [REDACTED]. La coherencia es importante al depurar: si el mismo ID de usuario se reemplaza con el mismo marcador de posición en todas partes, el lector aún puede seguir una solicitud a lo largo de cincuenta líneas.

La coincidencia de patrones no detectará un secreto que parezca texto normal, así que lea el resultado antes de enviarlo. Los nombres de host internos, los nombres de los clientes en campos de texto libre y las rutas de archivos que contienen nombres de usuarios son las tres cosas que sobreviven a cada paso automatizado.

Redacción no es rotación

El punto más importante, y el que la gente pasa por alto: si una credencial ya se envió a algún lugar donde no debería haber ido, eliminarla de un documento no sirve de nada. El destinatario puede tenerlo. Puede estar en un archivo de correo electrónico, un sistema de tickets, un servidor de chat, la carpeta de descarga local de alguien o los registros de un proveedor de modelos.

Girar. Invalida la sesión, revoca el token, lanza la clave API. Luego limpie el archivo. En ese orden, porque la limpieza dura un minuto y la rotación es la parte que realmente cierra la exposición.

Pegar en una ventana de chat es publicar

La depuración con un asistente es normal ahora, y un seguimiento de la pila con una cadena de conexión va a un tercero en el momento en que presiona Intro. Dependiendo del producto y el plan, ese texto puede ser retenido, revisado por un humano o utilizado para capacitación. Trate cualquier pegado en un modelo alojado como una transferencia a una parte externa (porque eso es lo que es) y desinféctelo exactamente como lo haría con un archivo adjunto a un correo electrónico externo.

Este es el caso en el que las herramientas locales no son una preferencia sino el objetivo: cada herramienta nombrada aquí se ejecuta en su navegador, por lo que la versión no redactada del archivo nunca se carga en nada en su camino para ser limpiado. Desinfectar un registro que contiene secretos pegándolo en un sitio web que lo procesa en un servidor significa que el secreto ya desapareció, independientemente del aspecto que tenga el resultado limpio.

Una lista de verificación que vale la pena fijar

1. Grabe el HAR en una ventana privada con solo la pestaña correspondiente abierta y comience a grabar después has iniciado sesión.
2. Ejecute la exportación a través del desinfectante.
3. Abra el archivo limpio y búsquelo token, secret, key, auth, password y sus propios nombres de dominio.
4. Elimine los códigos ANSI de cualquier salida de terminal y luego redacte los identificadores.
5. Lea el resultado de principio a fin. Es más corto de lo que piensas.
6. Gire todo lo que estaba activo en el original.
7. Envíalo a través de un canal que caduque, no uno que se archive para siempre.

Seis minutos de trabajo contra una fuga de credenciales que, de otro modo, permanecería en una cola de tickets indefinidamente.