El 13 de octubre de 2026, GitHub amplió el secret scanning a dos nuevos tipos de claves: las claves API de Anthropic, ahora bloqueadas por defecto mediante push protection, y los tokens OAuth2 de Salesforce Marketing Cloud, cubiertos por una nueva alianza. Un detector de claves de Cloudsmith se suma también a la lista de detectores automáticos. Para los equipos que manejan claves de API de modelos de lenguaje en sus repositorios, el cambio modifica lo que ocurre realmente en el momento del git push.
Qué cambia en el momento del push
Hasta ahora, una clave de Anthropic expuesta en un repositorio público se detectaba después del hecho y se enviaba al socio para su revocación. Con esta actualización, las claves API de servicio y de usuario de Anthropic pasan a formar parte de la push protection por defecto: un commit que contenga una queda bloqueado antes de llegar a GitHub, en cualquier repositorio con secret scanning activo, incluidos los repositorios públicos gratuitos.
$ git push origin main
remote: error: GH013: Repository rule violations found
remote:
remote: — Push cannot contain secrets —
remote:
remote: Anthropic API Key
remote: locations:
remote: - commit: 7e4f21a
remote: path: config/settings.py:14
remote:
remote: (?) To push, remove the secret from your commit(s),
remote: or allow the push at:
remote: https://github.com/OWNER/REPO/security/secret-scanning/unblock/...
Tres detectores, dos tratamientos distintos
La actualización no trata a todos los socios nuevos por igual: solo las claves de Anthropic pasan al bloqueo por defecto, mientras que Salesforce y Cloudsmith quedan, por ahora, solo en detección.
| Proveedor | Secreto detectado | Push protection por defecto |
|---|---|---|
| Anthropic | Clave API de servicio, clave API de usuario | Sí (nuevo) |
| Salesforce | Token OAuth2 de Marketing Cloud | Solo detección |
| Cloudsmith | Clave API | Solo detección |
Para los repositorios públicos ya existía un mecanismo previo a esta actualización: GitHub es socio de secret scanning con Anthropic desde 2024 y transmite las claves expuestas que encuentra en repositorios públicos para que el proveedor las revoque. La novedad del 13 de octubre es el bloqueo preventivo en origen, antes de que la clave llegue a ser visible en el historial público.
El punto ciego que queda: el historial ya publicado
La push protection actúa sobre los commits nuevos, no de forma retroactiva sobre un historial de Git ya subido. Una clave de Anthropic que lleva meses circulando en un repositorio, incluso privado, no queda neutralizada automáticamente por esta actualización: sigue dependiendo de la detección existente y, para las cuentas con GitHub Advanced Security, del bloqueo en repositorios privados.
Desde el 13 de octubre de 2026, un commit que contiene una clave API de Anthropic queda bloqueado antes de llegar a GitHub, en cualquier repositorio con secret scanning activo.
Una clave ya expuesta en el historial de un repositorio, incluso uno antiguo, sigue siendo válida mientras no se revoque manualmente. El bloqueo en el push no sustituye una auditoría del historial existente ni la rotación de las claves ya comprometidas, un hábito cercano al que se recomienda para cualquier base de seguridad mínima.
Lo que hay que recordar
La extensión del secret scanning a las claves de Anthropic cierra una ventana de exposición real para los equipos que integran llamadas a la API de Claude en su código, al bloquear la fuga en el momento del push en lugar de después. No es la primera extensión de este tipo: GitHub ya había ampliado la detección a las claves de Lovable y Supabase a principios de octubre, y avanza por oleadas de socios sucesivas en vez de una revisión única. Queda el hecho de que la protección solo cubre los push nuevos: las claves ya presentes en un historial de Git siguen necesitando una revisión y una rotación manuales.
Es el tipo de actualización que recomiendo comprobar en los propios repositorios en lugar de darla por hecha: la push protection por defecto solo se activa donde el secret scanning está encendido, y no todas las cuentas lo han activado igual según la antigüedad del repositorio. Una auditoría rápida de la configuración de seguridad, en los proyectos que llaman a una API de modelo de lenguaje, lleva menos tiempo que una rotación de clave de urgencia un domingo por la noche. — Simon Janvier
Fuente primaria: GitHub Changelog, «Secret scanning blocks Anthropic keys by default, adds Salesforce», 13 de octubre de 2026.
