Seguridad al Usar IA: No Compartas Datos Sensibles

Protege tu información sensible al usar herramientas de inteligencia artificial

Qué NO Debes Compartir Jamás

• API Keys y tokens: OpenAI, AWS, Stripe, GitHub...
• Contraseñas: De cualquier tipo
• Datos personales: Emails reales, teléfonos, direcciones
• Información financiera: Números de tarjeta, cuentas bancarias
• Secrets de producción: Variables de entorno reales
• Datos de clientes: Nombres, emails, historiales
• Código propietario: Algoritmos secretos de tu empresa

Cómo Sanitizar tu Código Antes de Pegarlo

Reemplaza con placeholders

const API_KEY = "sk-proj-abc123def456ghi789";
const DB_URL = "mongodb://user:pass123@db.example.com:27017";

const API_KEY = process.env.API_KEY; // "sk-proj-xxx"
const DB_URL = process.env.DB_URL; // "mongodb://user:pass@host:port/db"

Prompts Seguros

Debug con datos sanitizados

Configuración segura

Herramientas para Sanitizar Código

• Variables de entorno: Usa dotenv siempre
• .env.example: Comparte solo la estructura
• Secrets managers: AWS Secrets, Vault, Doppler
• Pre-commit hooks: Detecta secrets antes de commitear
• git-secrets: Evita commitear credenciales

Checklist de Seguridad

Qué Hacer si Compartiste Datos por Accidente

1. Cambia inmediatamente la API key o contraseña expuesta
2. Revoca el token o credencial comprometida
3. Elimina el chat de tu historial si es posible
4. Notifica a tu equipo de seguridad
5. Documenta el incidente para evitar repetición

Herramientas de Sanitizacion Automatica

Existen herramientas que detectan y bloquean automaticamente la exposicion de datos sensibles en tu codigo. Integrarlas en tu flujo de trabajo es una de las mejores inversiones en seguridad que puedes hacer.

dotenv y variables de entorno

El paquete dotenv es la forma estandar de gestionar variables de entorno en proyectos Node.js. Permite almacenar todas las credenciales en un archivo .env que nunca se sube al repositorio, manteniendo el codigo limpio y seguro.

npm install dotenv

# Archivo .env (NUNCA subir a git)
DATABASE_URL=postgresql://user:pass@localhost:5432/mydb
JWT_SECRET=mi-super-secreto-12345
STRIPE_KEY=sk_test_abc123

# Archivo .env.example (SI subir a git)
DATABASE_URL=postgresql://user:pass@localhost:5432/mydb
JWT_SECRET=your-secret-here
STRIPE_KEY=sk_test_xxx

# En tu codigo:
require('dotenv').config();
const db = connect(process.env.DATABASE_URL);

git-secrets de AWS

git-secrets es una herramienta desarrollada por AWS que escanea tus commits y evita que subas credenciales al repositorio. Se instala como un hook de git y analiza cada cambio antes de que se confirme.

# Instalacion
brew install git-secrets  # macOS
# o descarga desde github.com/awslabs/git-secrets

# Configurar en tu repositorio
git secrets --install
git secrets --register-aws

# Escanear todo el historial
git secrets --scan-history

# Resultado si detecta un secreto:
# [ERROR] Matched one or more prohibited patterns
# file:config.js, line:3
# secret: AKIAIOSFODNN7EXAMPLE

truffleHog y deteccion de secrets

truffleHog es una herramienta de codigo abierto que busca credenciales expuestas en el historial completo de un repositorio git. Utiliza analisis de entropia y expresiones regulares para encontrar claves API, tokens y contraseñas que pudieron haberse filtrado en commits anteriores.

# Instalacion
pip install trufflehog

# Escanear repositorio local
trufflehog filesystem /ruta/al/repo

# Escanear repositorio remoto
trufflehog git https://github.com/user/repo.git

# Salida ejemplo:
# Found verified result 🐷🔑
# Detector Type: AWS
# Decoder Type: PLAIN
# Raw result: AKIAIOSFODNN7EXAMPLE
# Commit: abc123 - "added config file"

Gitleaks y pre-commit hooks

Gitleaks es otra herramienta popular que se integra facilmente con pre-commit hooks. Detecta mas de 90 tipos de secrets diferentes, incluyendo claves de servicios cloud, tokens de plataformas SaaS y credenciales de bases de datos.

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

# Instalar hooks
pip install pre-commit
pre-commit install

# Ahora cada commit sera escaneado automaticamente

Buenas Practicas de Seguridad en Desarrollo

La seguridad no es solo una tarea puntual, sino un habito que debe integrarse en cada paso del ciclo de desarrollo. Estas practicas te ayudaran a construir aplicaciones mas seguras desde el primer dia.

Principio de minimo privilegio

Cada componente de tu sistema debe tener unicamente los permisos necesarios para funcionar. Una API key de Stripe en modo test no necesita permisos de produccion. Un usuario de base de datos de solo lectura no debe tener permisos de escritura. Configura roles granulares para cada servicio y entorno.

Rotacion regular de credenciales

Establece un calendario de rotacion de claves API, tokens y contraseñas. Servicios como AWS ofrecen rotacion automatica de claves. Para claves que no se pueden rotar automaticamente, crea recordatorios trimestrales. Documenta el proceso de rotacion para que cualquier miembro del equipo pueda ejecutarlo.

Separacion de entornos

Mantene entornos completamente separados para desarrollo, staging y produccion. Cada entorno debe tener sus propias credenciales, bases de datos y configuraciones. Nunca uses datos de produccion en desarrollo. Si necesitas datos realistas, utiliza generadores de datos ficticios como Faker o Mockaroo.

# Estructura recomendada
.env.development      # Variables locales
.env.staging          # Variables de staging
.env.production       # Variables de produccion
.env.example          # Plantilla (sin valores reales)

# En tu codigo:
const env = process.env.NODE_ENV || 'development';
const config = require(`./config/${env}.js`);

# Cada archivo de config usa sus propias valores:
# config/development.js  -> usa servicios locales
# config/staging.js      -> usa servicios de staging
# config/production.js   -> usa servicios de produccion

Revision de seguridad en Pull Requests

Incluye un checklist de seguridad en cada Pull Request. Verifica que no se hayan introducido credenciales hardcodeadas, que las dependencias nuevas no tengan vulnerabilidades conocidas, y que los cambios en autenticacion o autorizacion hayan sido revisados por un segundo desarrollador. Herramientas como Dependabot y Snyk pueden automatizar parte de esta revision.

Encriptacion de datos sensibles

Los datos sensibles deben encriptarse tanto en transito (HTTPS/TLS) como en reposo. Para contraseñas, utiliza algoritmos de hashing como bcrypt o Argon2, nunca MD5 o SHA-256 sin sal. Para datos que necesitas leer de vuelta (como numeros de tarjeta), utiliza encriptacion simetrica con AES-256 y almacena las claves de encriptacion en un gestor de secrets.

const bcrypt = require('bcrypt');
const SALT_ROUNDS = 12;

// Registrar usuario
async function hashPassword(plainPassword) {
  const hash = await bcrypt.hash(plainPassword, SALT_ROUNDS);
  await db.users.create({ password: hash });
}

// Verificar login
async function verifyPassword(plainPassword, storedHash) {
  const isValid = await bcrypt.compare(plainPassword, storedHash);
  return isValid;
}

Regulaciones y Cumplimiento

Dependiendo de donde operes y de que tipo de datos manejes, es posible que debas cumplir con regulaciones especificas de proteccion de datos. Conocer los fundamentos de estas normativas te ayudara a tomar mejores decisiones tecnicas.

GDPR (Reglamento General de Proteccion de Datos)

El GDPR es la regulacion europea de proteccion de datos y aplica a cualquier empresa que procese datos de ciudadanos de la UE, independientemente de donde este ubicada. Entre sus requisitos principales se encuentran: obtener consentimiento explicito para recopilar datos, permitir que los usuarios accedan, corrijan y eliminen sus datos personales, notificar violaciones de datos en un maximo de 72 horas, y designar un Delegado de Proteccion de Datos (DPO) cuando sea necesario. Las multas pueden alcanzar los 20 millones de euros o el 4% de la facturacion anual global.

CCPA (Ley de Privacidad del Consumidor de California)

La CCPA otorga a los residentes de California derechos sobre sus datos personales, incluyendo el derecho a saber que datos se recopilan, el derecho a eliminarlos y el derecho a optar por no vender su informacion personal. Aplica a empresas que cumplen ciertos umbral de ingresos o volumen de datos. Desde el punto de vista tecnico, esto implica implementar mecanismos para exportar datos de usuarios, eliminar cuentas de forma completa (incluyendo backups) y respetar las preferencias de privacidad.

Implicaciones tecnicas del cumplimiento

Cumplir con estas regulaciones requiere implementar varias medidas tecnicas: sistemas de consentimiento granular (cookies, marketing, analytics), endpoints de API para exportar y eliminar datos de usuarios, registros de auditoria que documenten quien accedio a que datos y cuando, encriptacion de datos personales en reposo y en transito, y politicas de retencion de datos con eliminacion automatica. Al usar herramientas de IA, ten especial cuidado de no enviar datos personales de usuarios a traves de prompts, ya que esto podria constituir una transferencia de datos no autorizada.

[ ] Consentimiento explicito antes de recopilar datos
[ ] Banner de cookies con opciones granulares
[ ] Endpoint GET /api/user/data - Exportar datos
[ ] Endpoint DELETE /api/user/account - Eliminar cuenta
[ ] Logs de auditoria para accesos a datos personales
[ ] Encriptacion AES-256 para datos sensibles en DB
[ ] HTTPS obligatorio en todos los endpoints
[ ] Politica de retencion con auto-eliminacion
[ ] Proceso de notificacion de brechas (< 72h)
[ ] Acuerdos de procesamiento de datos con terceros

Preguntas frecuentes