El error ocurre al copiar
La mayoría de las filtraciones de este tipo no son ataques. Son errores de copiar y pegar cometidos minutos antes de publicar una bio, una página de portafolio o una firma de foro. La barra de direcciones del navegador puede mostrar una dirección de feed mientras la página que ves parece “mi actividad”, así que la URL que se copia es la que autentica una solicitud en lugar de la que simplemente nombra tu perfil.
La URL del feed de actividad personal de GitLab contiene un token que autentica la solicitud del feed. Fuente
Esa es toda la razón por la que esta comprobación importa: el token no es un secreto aparte que puedas revocar después de forma aislada. Está incrustado en el enlace, y el enlace es lo que estás a punto de publicar.
Una URL de perfil público y una URL de feed de actividad autenticada cumplen propósitos distintos. Fuente
Toma esa frase como la regla de decisión para el resto de esta guía. Si la URL que tienes en la mano pudiera usarse para obtener contenido privado del feed, no es un enlace de perfil, sin importar cómo se vea.
Paso 1: Identifica qué tipo de enlace tienes
No necesitas entender el formato del token para tomar la decisión. Necesitas saber qué página produjo la URL. Usa la tabla siguiente como lista de comprobación antes de pegar nada en público.
| Lo que copiaste | Señal típica | ¿Seguro para publicar? | Qué hacer |
|---|---|---|---|
| URL de la página de perfil | Abre tu perfil cuando no has iniciado sesión | Sí, si el perfil en sí es público | Usa esta |
| URL del feed de actividad | Contiene un segmento largo de token y devuelve datos del feed | No | Deséchala; no la pegues, acortes ni captures en pantalla |
| Un enlace de una página de ajustes o de tokens | Estabas en un área autenticada cuando copiaste | Trátalo como privado | Sustitúyelo por la URL del perfil |
| Un enlace que te envió otra persona | Origen desconocido | Sin verificar | Ábrelo sin sesión iniciada antes de confiar en él |
Hay dos límites que conviene decir con claridad. Primero, esta tabla es una rutina editorial de inspección, no una función de la plataforma; GitLab no etiqueta los enlaces por ti. Segundo, una URL que abre bien en tu propio navegador con sesión iniciada no demuestra nada, porque tu sesión puede estar proporcionando un acceso que un desconocido no tendría.
Una prueba práctica que no expone nada: abre el enlace candidato en una ventana privada donde no hayas iniciado sesión. Si te pide autenticarte, o devuelve contenido del feed que no querrías que leyera un desconocido, detente y vuelve a tu página de perfil para copiar la dirección de nuevo. No pegues la URL fallida en un chat, un ticket o una publicación pública para “comprobarla”.
Paso 2: Sustitúyelo por la URL del perfil público
Una vez que hayas decidido que un enlace es del tipo incorrecto, la sustitución es la acción segura. La secuencia siguiente mantiene la URL privada fuera de cada lugar intermedio donde podría almacenarse.
- Cierra la pestaña que muestra el feed o la dirección con token sin volver a copiarla.
- Navega a tu perfil de la forma habitual, a través de la interfaz del sitio y no mediante un marcador guardado del feed.
- Confirma que el perfil es el que pretendes publicar y que su visibilidad es la que esperas.
- Copia la dirección solo desde la página de perfil.
- Pégala primero en un editor de texto plano, no directamente en el campo de la bio, para poder ver la cadena completa antes de que vaya a ningún sitio.
- Compara la cadena pegada con la tabla anterior. Si alguna parte parece una credencial larga en lugar de un nombre o una ruta, deséchala y repite desde el paso 2.
- Pega la URL de perfil verificada en la bio y luego previsualiza la bio tal como la vería un visitante sin sesión iniciada.
El paso 5 no es ceremonia. Los campos de bio, los editores de texto enriquecido y las vistas previas de enlaces pueden almacenar u obtener lo que pegas, y una solicitud de vista previa de una URL con token es un lugar más por el que ha pasado el enlace.
Paso 3: Decide si el feed en sí debería ser visible
Un enlace de perfil y un enlace de feed son cuestiones separadas. Puedes tener una URL de perfil perfectamente segura y aun así no sentirte cómodo con cuánto revela tu actividad. Esa es una decisión de visibilidad, no una decisión de formato de enlace, y debería tomarse antes de publicar nada que dirija a la gente hacia tu perfil.
El feed personal incluye actividad de proyectos de los que eres miembro, independientemente de la pestaña de actividad o el filtro seleccionado. Fuente
Eso importa para la decisión: si confías en una pestaña o un filtro para mantener cierta actividad fuera de la vista, el comportamiento del feed descrito arriba significa que el filtro no es una frontera de privacidad. Decide si el feed en su conjunto es aceptable, en lugar de suponer que una vista más restringida te protege.
Si concluyes que no es aceptable, el siguiente paso es revisar qué sigue siendo visible públicamente después de ajustar la visibilidad del perfil, no solo cambiar un ajuste y seguir adelante. Una guía de seguimiento relevante es la de hacer privado tu perfil de GitLab y comprobar qué sigue siendo público, que aborda el lado de la visibilidad de esta decisión.
Si el enlace ya se ha compartido
Actúa asumiendo que cualquier cosa publicada públicamente puede haber sido copiada, almacenada en caché o indexada, aunque la borres un minuto después. Borrar una publicación no recupera las copias que otras personas o sistemas automatizados ya hayan hecho, y esta guía no va a fingir lo contrario.
Usa los controles autorizados de tokens y de cuenta del propio sitio, o sus canales de soporte, para tratar una credencial que se ha expuesto. La ruta exacta del menú y las opciones de recuperación disponibles no quedan establecidas por el material revisado aquí, así que compruébalas en tu cuenta en lugar de seguir una secuencia recordada de una interfaz anterior. No pegues la URL expuesta en un issue público, en una publicación social pidiendo ayuda ni en un sitio de terceros; describe el problema sin reproducir el enlace.
Después de haber actuado por la vía autorizada, vuelve a comprobar los lugares donde publicaste: campos de bio en cada sitio, firmas, páginas de portafolio, publicaciones fijadas y cualquier documento que hayas compartido. Sustituye cada aparición por la URL del perfil y anota los lugares que no pudiste editar.
Dónde encaja una búsqueda de nombre de usuario y dónde se detiene
Si tu preocupación es hasta qué punto se reutiliza un nombre de usuario en distintos sitios, una búsqueda de nombre de usuario puede mostrar coincidencias públicas para revisar. TraceSeek cubre más de 3.000 plataformas y ofrece un primer escaneo gratuito que, según el producto, tarda 20-30 segundos. Eso es un paso de generación de pistas, no una prueba de propiedad: un nombre de usuario coincidente en otro sitio puede pertenecer a otra persona, y una búsqueda no es un inventario completo de todas las cuentas.
Lo que una búsqueda no puede hacer es decirte si una URL concreta que copiaste contiene una credencial. Ese juicio proviene de la inspección del paso 1. Mantén las dos tareas separadas: usa la búsqueda para encontrar perfiles públicos que merezca la pena revisar, y usa la comprobación del tipo de enlace para decidir qué es seguro publicar.
Lista de comprobación rápida antes de pegar
- Copié la URL desde mi página de perfil, no desde un feed, una página de ajustes o de tokens.
- La cadena completa no contiene ningún segmento largo parecido a una credencial.
- El enlace se abre como se espera en una ventana privada sin sesión.
- Lo pegué en un editor de texto plano antes del campo de la bio.
- Previsualicé la bio como la vería un visitante sin sesión iniciada.
- He decidido si el feed de actividad en su conjunto es aceptable exponerlo.
- Si ya compartí un enlace de feed, usé los controles autorizados de la cuenta o el soporte y no volví a publicar el enlace.
- Volví a comprobar cada lugar donde aparecía el enlace antiguo.
Si alguna casilla queda sin marcar, la opción segura por defecto es no publicar nada y volver a la página de perfil para copiar de nuevo.