Subí mi clave de API a GitHub por error: la cola del pan

2026-11-02

Es lunes, las 9:10, y estás en la cola de la panadería con dos personas delante. Sacas el móvil sin pensar, por costumbre, y ahí está: un correo de GitHub con un asunto que no habías pedido.

Posible secreto expuesto en tu repositorio.

Te quedas quieta. La señora de delante pide una barra y un cuarto de integral. Tú relees el asunto una vez más, como si las palabras pudieran cambiar.

Llamémosla Irene. Es una historia ilustrativa, pero seguro que reconoces la escena. Irene es desarrolladora freelance y lleva tres semanas con la API de la tienda online de un cliente. Un cliente majo, de los que pagan puntual. Justo por eso le pesa más.

El café que ya no sabe a nada

Vuelve a casa con el pan en la mano y sin ganas de desayunar. Abre el portátil en la mesa de la cocina y entra en el repositorio. El archivo está ahí, con su nombre inocente, y dentro, en texto plano, la clave. Subida el jueves por la tarde, con prisa, en un commit con el mensaje «arreglos».

Cuatro días. Lleva cuatro días a la vista.

La mente se le dispara a la vez en todas direcciones. ¿Alguien la habrá visto? ¿Habrá pasado algo ya? ¿Se lo digo al cliente o primero lo arreglo y luego ya veré? ¿Y si pierdo el proyecto? ¿Y si lo que parece un descuido se queda en la cabeza del cliente como «la que subió las claves»?

Busca en el buscador, claro. Abre doce pestañas. Cada una dice algo distinto, con distinto tono, y ninguna sabe nada de su caso: su proyecto, su cliente, su lunes.

Lo que más le duele no es el error. Los errores pasan, lo sabe. Lo que le duele es esa sensación sorda de estar trabajando sola, sin nadie que revise por encima del hombro y le diga «esto está bien» o «aquí mira otra vez». Cuando eres tu propio equipo, también eres tu propio fallo.

Lo que cuesta de verdad

El susto, al final, se resuelve. Irene respira, hace lo que hay que hacer con una clave que ya no puede considerarse privada, y se sienta a escribirle al cliente con la cabeza más fría de lo que esperaba. El cliente contesta con un «gracias por avisar tan pronto». Nada se rompe.

Pero esa tarde, cuando por fin cierra el portátil, se queda mirando la pantalla apagada y se da cuenta de que el susto de la mañana tenía poco que ver con la clave.

Tenía que ver con otra cosa. Con que cada vez que lanza algo, en el fondo, lo hace un poco a ciegas. Con que repasa de memoria lo que cree que debería repasar, y se queda con un «creo que está bien» que no es lo mismo que «lo he comprobado». Con que todas esas dudas se van acumulando en un rincón y salen justo cuando menos toca: en la cola del pan, en la cena, a las tres de la madrugada.

Y con lo que eso cuesta sin que aparezca en ninguna factura: la mañana que se pierde, la energía que se va, la pequeña voz que te dice que quizá no eres tan profesional como aparentas.

«No tiene por qué ser así»

Al día siguiente, con el café ya sabiendo a café, Irene se hace una pregunta distinta. No «¿cómo he podido ser tan descuidada?», sino «¿por qué dependo de mi memoria para algo tan importante?».

Los pilotos no se acuerdan de todo: tienen una lista. Los cirujanos tampoco. Nadie lo considera una debilidad. Es simplemente cómo se trabaja cuando las consecuencias importan y las prisas existen.

Lo que ella necesitaba no era más cuidado en abstracto. Era un recorrido corto, siempre el mismo, que mirase las mismas cosas cada vez, en el mismo orden, aunque llevase tres noches durmiendo mal o tuviera la cabeza en la declaración del trimestre. Algo que sustituyera el «creo que sí» por una casilla marcada.

Un lunes distinto

Imagina otro lunes, unas semanas después. Irene vuelve a pasar por la panadería. Esta vez el móvil se queda en el bolsillo.

Antes del último despliegue de la semana pasada repasó su lista. Le llevó un rato razonable, no una tarde entera. Fue marcando lo que estaba bien y anotando lo que no, y lo que no estaba bien lo arregló con calma, un jueves a mediodía, sin nadie esperando. Cuando entregó, mandó al cliente un pequeño informe ordenado de lo que se había revisado. Él no entendió todos los términos, pero entendió lo importante: que alguien se había parado a mirarlo con método.

Hoy pide su barra, charla un momento con la panadera, y camina a casa pensando en qué va a hacer con la semana. No en qué podría estar ardiendo.

Esa es la diferencia. No es que dejes de cometer errores. Es que dejas de cargar con la duda de si ya has cometido uno.

Si te has reconocido

Si alguna vez has sentido ese vuelco con un correo de GitHub, o si lanzas cosas con la sensación de que «seguramente esté bien», quizá te sirva tener una lista ya hecha que te acompañe. Nosotros hemos preparado una: Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit, con 58 puntos de revisión, un seguimiento en hoja de cálculo, pruebas con curl, un script para revisar rutas de autenticación y una plantilla de informe para tu cliente, para Node/Express y Python. Está en inglés, y puedes verlo aquí: https://blixwerkstudio.com/p/api-security-review-checklist-kit.

Incluye una garantía de 30 días: si no te ayuda, te devolvemos el dinero, sin preguntas. Es una herramienta de organización, no sustituye a un profesional de seguridad si tu proyecto lo necesita.

Una historia ilustrativa, escrita con ayuda de IA.