Cómo usar .gitignore y evitar subir secretos a GitHub
Publicado el 2026-10-26 por frfrand
Patrones gitignore, archivos ya versionados y rotación de secretos
Subiste un proyecto a GitHub y descubriste que también mandaste .env, archivos temporales y una carpeta gigante de dependencias. .gitignore evita que Git empiece a seguir ciertos archivos, pero tiene una limitación importante: no borra lo que ya publicaste.
La idea es usarlo para resolver un problema de verdad, no memorizar comandos porque quedan bien en una captura. Vamos con lo esencial, un ejemplo de trabajo y los errores que más conviene evitar.
Qué hace .gitignore y cuándo sirve
Los patrones se aplican normalmente a archivos no rastreados. Un archivo versionado antes de añadirlo a .gitignore seguirá siendo rastreado. Para dejar de incluirlo en commits futuros podés quitarlo del índice, pero si contenía un secreto la credencial ya está comprometida y debe rotarse.
Si estás aprendendo, probalo primero en un repositorio o entorno de prueba. Si administrás producción, documentá el estado antes de ejecutar nada que altere archivos, historial o datos. Eso te permite entender qué cambió y recuperarte si te equivocás.
Ejemplo para copiar y entender
# Ejemplo .gitignore
.env
.env.*
!.env.example
node_modules/
__pycache__/
*.pyc
# Si .env ya estaba versionado
git rm --cached .env
git commit -m 'dejar de versionar entorno'No copies la orden final sin mirar el estado previo. Los nombres de ramas, host, usuario o rutas son ejemplos; reemplazalos por los de tu proyecto. Algunos comandos modifican archivos o hacen peticiones que pueden escribir datos.
Cómo lo usaría paso a paso
- Paso 1. Identifica qué genera tu proyecto y qué necesita realmente otro desarrollador.
- Paso 2. Añade patrones para archivos temporales y secretos; deja un
.env.examplesin valores privados. - Paso 3. Comprueba por qué una ruta se ignora con
git check-ignore -v ruta. - Paso 4. Si ya había credenciales en commits, revócalas y reemplázalas inmediatamente.
- Paso 5. Utiliza un gestor de secretos para despliegues y un escáner de fugas en CI cuando sea posible.
Detente después de cada paso y comprueba el resultado. Si algo falla, anota el mensaje exacto antes de cambiar de estrategia. Saltar entre cinco soluciones aleatorias suele dificultar encontrar la causa real.
Un caso que podría pasarte trabajando con clientes
Un bot que consulta una API de IA necesita una clave de proveedor. El repositorio debe contener cómo configurar AI_API_KEY, no el valor real. La aplicación recibe la credencial del entorno cuando corre.
El objetivo no es que «funcione una vez», sino que puedas explicar cómo lo repites sin comprometer otra aplicación. Si hay datos o credenciales de clientes, trabaja con pruebas separadas y accesos mínimos.
El error que más veo
git rm --cached no elimina el secreto del historial remoto ni de clones antiguos. Para una clave filtrada, rotar y revisar accesos es urgente; limpiar historial puede ser adicional, pero no sustituye esa medida.
Una regla sencilla: si no puedes explicar qué hará el comando sobre tu código o servidor, mira primero su ayuda oficial. Así evitas confundir una solución rápida con un problema nuevo.
¿Dónde entra ArduMaker?
Cuando desplegues desde Git en ArduMaker, prepara variables seguras en el entorno de ejecución y no incrustes contraseñas dentro del frontend. Separa los accesos por cliente y por servicio.
Por ejemplo, puedes desplegar desde un repositorio Git a un VPS, asociar un dominio HTTPS y administrar servicios y bases desde el mismo entorno. El panel reduce tareas repetitivas de infraestructura, pero no reemplaza Git, las pruebas ni la revisión de permisos del proyecto.
Preguntas rápidas antes de aplicarlo
¿Esto cambia producción? Depende de dónde ejecutes la acción. Prueba localmente primero, identifica el commit o servicio afectado y prepara un plan de recuperación.
¿Cómo compruebo que salió bien? No te quedes con la ausencia de mensajes de error: revisa el estado, ejecuta un test funcional y comprueba los logs o el historial correspondiente.
¿Conviene automatizarlo? Si es repetible y tiene resultados verificables, sí. Pero la automatización debería fallar de forma clara y no esconder errores o credenciales.
Para ampliar
Resumen: la herramienta útil no es la que tiene más opciones, sino la que te permite entender qué cambió, comprobarlo y seguir trabajando sin sorpresas.