Empieza por el registro, no por las suposiciones
Cuando algo en tu cuenta de GitHub parece diferente, el primer paso útil es obtener un registro que tú controlas en lugar de reconstruir los hechos de memoria. El registro de seguridad personal de GitHub es ese registro.
El registro de seguridad personal de GitHub contiene acciones de los últimos 90 días. Fuente
Dado que el registro se limita a una ventana reciente, exporta cuanto antes. Los eventos que queden fuera de esa ventana no aparecerán después, y no podrás recuperarlos por mucho que esperes.
Dónde está el registro y qué puedes filtrar
El registro está disponible en la configuración de la cuenta, en Archivos, Registro de seguridad, y admite filtros como actor, repositorio y acción. Fuente
Los filtros importan más que el volumen bruto. Acotar por actor, repositorio o acción te permite aislar el periodo y la superficie que te interesan, en lugar de desplazarte por actividad rutinaria no relacionada.
Exporta una copia privada antes de analizar
El menú Exportar descarga JSON o CSV; los filtros compatibles pueden acotar la exportación. Fuente
Trata el archivo exportado como sensible. Contiene un registro de la actividad de la cuenta, incluidos actores y acciones, y puede revelar contexto personal u organizativo. Guárdalo en un lugar privado, compártelo solo con las personas que te estén ayudando directamente en la investigación y evita pegarlo en hilos públicos o en rastreadores de incidencias. Si más adelante necesitas entregar una copia a un equipo de soporte de la plataforma, comparte la exportación filtrada más acotada que responda a su pregunta.
Crea una hoja de trabajo para la línea de tiempo del incidente
Una exportación del registro es una lista de eventos, no una narrativa. Conviértela en una hoja de trabajo para que las observaciones, las interpretaciones y las preguntas abiertas se mantengan separadas. Una estructura sencilla funciona:
| Columna | Qué se incluye | Por qué importa |
|---|---|---|
| Evento | Una etiqueta breve de lo que ocurrió | Hace que la fila sea fácil de revisar después |
| Hora | La marca de tiempo tal como se registró, con la zona horaria indicada | Evita errores de ordenación |
| Actor | La cuenta o el identificador registrado como responsable | Identifica la fuente registrada, no a una persona |
| Acción | Lo que el registro dice que se hizo | Mantiene la fila factual |
| Confianza | Cuán seguro estás de que esta fila es relevante y está bien leída | Separa las filas sólidas de las especulativas |
| Pregunta abierta | Lo que aún necesitas comprobar | Evita que las suposiciones se endurezcan como hechos |
Rellena la hoja de trabajo a partir de la exportación, una fila por cada evento que consideres relevante. Usa la columna de confianza con honestidad: una fila que has leído directamente en la exportación es más sólida que una que has inferido a partir de un cambio que notaste. Cuando notes un cambio pero no encuentres un evento que coincida, regístralo como pregunta abierta en lugar de como conclusión.
Separa las acciones observadas de la prueba de quién las realizó
Esta es la parte en la que más se equivocan las líneas de tiempo. Una entrada del registro te dice qué dice el registro que ocurrió y qué identificador de actor está asociado. Por sí sola, no establece qué persona física estaba frente al teclado. Los dispositivos compartidos, las sesiones reutilizadas, las credenciales comprometidas y la automatización legítima pueden producir entradas que parecen la acción de una persona.
Mantén dos categorías mentales mientras revisas:
- Observado: el evento, la hora, el actor y la acción tal como se registraron.
- No establecido: quién lo realizó físicamente, por qué, y si el identificador de actor corresponde a la persona que supones.
Escribe conclusiones en la segunda categoría solo cuando tengas pruebas independientes. Hasta entonces, pertenecen a la columna de preguntas abiertas.
No interpretes un evento ausente como prueba de que no ocurrió nada
Un espacio en blanco en la exportación no es prueba de inactividad. El registro cubre una ventana reciente definida, y una exportación refleja los filtros que aplicaste. Si filtraste por un repositorio, los eventos de otros repositorios no aparecerán. Si el cambio que te preocupa ocurrió fuera de la ventana, no estará ahí. Registra las ausencias como lagunas que investigar, no como tranquilidad.
Si has perdido el acceso
Si no puedes iniciar sesión para acceder al registro, deja de intentar reconstruir los eventos desde fuera y utiliza el proceso oficial de recuperación de cuenta de GitHub. La recuperación es el camino que restaura tu capacidad de revisar la cuenta. No pidas a terceros que accedan a la cuenta en tu nombre y no trates un restablecimiento de contraseña por sí solo como una investigación completada; una vez que recuperes el acceso, exporta el registro y crea la línea de tiempo del periodo en torno al cambio.
Una lista de comprobación breve
- Exporta el registro de seguridad antes de que avance la ventana de 90 días.
- Guarda la exportación de forma privada y anota la fecha y la zona horaria de la exportación.
- Aplica filtros para aislar el periodo y la superficie que te interesan, y luego exporta la vista acotada si te resulta útil.
- Crea la hoja de trabajo con columnas de evento, hora, actor, acción y confianza.
- Marca cada fila como observada o inferida, y mantén las preguntas abiertas separadas.
- Registra los eventos ausentes como lagunas, no como prueba de que no ocurrió nada.
- Si pierdes el acceso, usa primero la recuperación oficial y luego vuelve al paso 1.
Un siguiente paso útil
Una vez que tengas una línea de tiempo, la siguiente pregunta suele ser qué otras cuentas están conectadas al mismo nombre o identificadores. Esa es una tarea distinta de leer un registro de seguridad y tiene su propio método: consulta cómo encontrar todas las cuentas vinculadas a un nombre. Mantén las dos investigaciones separadas para que los hallazgos de una no se confundan con pruebas de la otra.