🗝️ Contraseñas y extensiones

En este curso, secreto es cualquier cosa que demuestre a un sistema que «soy yo»: la contraseña del correo electrónico, la clave de un servicio de IA, el código que conecta al agente con tu hoja de cálculo.

Quien tiene el secreto entra como si fueras tú. No necesita saber tu nombre, tu contraseña del banco ni dónde está la clínica. El secreto, por sí solo, basta.

Cómo leer el dibujo: La casilla de la izquierda dice "tú u otra persona" a propósito. Las tres puertas de la derecha se abren para quien presente el secreto del medio, sin verificar quién es. Por eso, un secreto filtrado vale lo mismo que tu inicio de sesión.

Cuando alguien instala un agente en la computadora o en un servidor, las claves suelen quedar guardadas en un archivo de configuración. El más común se llama .env (se lee "punto env").

El punto es este: si el agente tiene acceso a la carpeta, puede leer el archivo de claves como lee cualquier otra persona. Y, si alguien lo pide —por descuido tuyo o por una instrucción oculta—, puede mostrar el contenido en pantalla.

Cómo leer el dibujo: las cuatro flechas azules salen del agente y llegan a todos los archivos: no hay ninguna flecha "prohibida". El archivo ámbar es el de claves. Fíjate en que el ejemplo usa SUA_CHAVE_AQUI: en cualquier material, captura de pantalla o conversación, una clave real nunca debe aparecer.

Todo lo que escribes en un chat de IA queda en el historial de la conversación. Puede leerlo quien abra tu cuenta, puede aparecer en una captura de pantalla o en un resumen. Un secreto pegado en el chat pasa a vivir en el chat.

La regla se aplica en ambos sentidos: tú no pegas la clave y el agente no la muestra. Ni «solo para verificar» ni «solo los primeros dígitos».

REGRA: SEGREDOS
1. Nunca me peça senha, chave de API, token ou código de verificação. Se precisar de um acesso, diga qual e eu configuro fora do chat.
2. Nunca mostre, copie, resuma ou repita o conteúdo de arquivos de configuração (.env e parecidos), nem em parte, nem "só para conferir".
3. Se você encontrar algo que pareça um segredo em qualquer texto, escreva [SEGREDO OCULTO] no lugar e me avise.
4. Se eu mesmo colar um segredo aqui por engano, me alerte na hora e não o repita na resposta.

Extensión del navegador, plugin del chat, «habilidad» o «app» que se instala en el agente: los nombres cambian, la idea es la misma. Es un fragmento de programa hecho por otra persona que pasa a ejecutar con tus permisos.

Si tu agente puede leer el correo, la extensión instalada en él también puede. Si puede ver el archivo de claves, ella también. No estás instalando una herramienta; estás contratando a un desconocido para trabajar dentro de tu oficina.

Qué observar en la tabla: compara cada línea de la columna del medio con lo que promete la extensión. Una solicitud que no coincide ya es motivo para no instalarla; no necesitas descubrir por qué. Renata descartó esa y encontró otra que solo pedía la primera línea.

Antes de hacer clic en "instalar" o "permitir", responde tres preguntas: ¿quién lo publicó?, ¿qué pide? e ¿realmente lo necesito?. Toma dos minutos y evita la mayoría de los problemas.

La tercera pregunta es la que más gente se salta. Muchas extensiones resuelven algo que el propio chat de IA ya hace sin instalar nada.

Se filtró cuando el secreto apareció donde no debía: pegado en un chat, en una captura de pantalla enviada al grupo, en un archivo compartido, en la pantalla durante una llamada. No importa si "nadie lo vio".

Eliminar el mensaje no resuelve: la copia puede estar ya en otro lugar. Lo que resuelve el problema es hacer que esa clave sea inútil. El orden importa: primero la revocas y después organizas.

Cómo leer el dibujo: lee de izquierda a derecha. La caja con brillo es la única que no puede esperar: mientras la clave vieja funcione, quien la tenga puede usarla. Los pasos 2 y 3 vuelven a poner el negocio en marcha; el 4 muestra si alguien llegó a usarla.

CHECKLIST DE VAZAMENTO DE SEGREDO — <nome do negócio>
Qual segredo vazou: <ex.: chave do serviço de IA / senha do e-mail>
Onde apareceu: <ex.: colado no chat, print no grupo>
Data e hora: <____>

[ ] 1. REVOGAR — entrar em <onde se gerencia a chave, ex.: painel da conta > Chaves> e apagar/desativar a chave vazada.
[ ] 2. CRIAR NOVA — gerar outra chave, só com as permissões que a tarefa precisa.
[ ] 3. TROCAR — atualizar a chave nova em: <lista de lugares, ex.: agente de e-mail, planilha automática>.
       Quem troca: <você ou o técnico, com telefone>.
[ ] 4. CONFERIR — olhar gasto e histórico de uso dos últimos 30 dias. Algo que não reconheço? <sim/não>
[ ] 5. SENHA — se foi senha de login, trocar e ligar a verificação em duas etapas.
[ ] 6. AVISAR — se dados de clientes podem ter sido acessados, falar com <responsável> (ver módulo 4.3).
[ ] 7. REGISTRAR — anotar o que aconteceu e a menor correção para não repetir.