Usa tokens de acceso personal con Azure Repos

En esta publicación destacamos la práctica recomendada de seguridad n.º 5 —usar tokens de acceso personal— de nuestra serie de 8 prácticas recomendadas de seguridad para Azure Repos.

Usa tokens de acceso personal con Azure Repos

La autenticación de dos factores (2FA) agrega un nivel adicional de seguridad a tu cuenta, ya que requiere no solo un nombre de usuario y una contraseña, sino también un código único de una aplicación de autenticación o enviado por SMS. Así, aunque alguien comprometa tu contraseña, un atacante no podrá iniciar sesión en tu cuenta sin tener también tu teléfono celular.

Sin embargo, git solo admite nombres de usuario y contraseñas, y no sabe cómo funciona la autenticación de dos factores. En su lugar, puedes configurar un token de acceso personal (PAT) para usarlo con git y las herramientas de Git.

Para facilitar el trabajo con 2FA y los tokens de acceso personal, puedes instalar Git Credential Manager para macOS y Linux o Windows. Git Credential Manager te permite autenticarte directamente con tu proveedor de alojamiento de Git y se encarga de generar y almacenar de forma segura tu PAT, para que no tengas que hacerlo.

Puedes crear tu propio token de acceso personal en la configuración de seguridad de tu cuenta. Allí puedes definir cuándo vencerá automáticamente el token. Ten en cuenta que, como administrador, puedes revocar los PAT de los usuarios que quizá dejen el equipo. Una vez que configures tu PAT, considera usar Git Credential Manager para macOS y Linux o Windows. Puedes almacenar tu PAT en Git Credential Manager para mayor seguridad. Para obtener más información, consulta la documentación.

Sigue leyendo la lista de 8 prácticas recomendadas de seguridad para Azure Repos:

1. Nunca almacenes credenciales como código o configuración en Azure Repos

2. Elimina los datos confidenciales de tus archivos y del historial de Azure Repos

3. Controla estrictamente el acceso

4. Agrega un archivo SECURITY.md

5. Usa tokens de acceso personal

6. Asigna permisos detallados y grupos a los usuarios

7. Agrega pruebas de seguridad a los pull requests

8. Rota las claves SSH y los tokens de acceso personal

Si aún no lo has hecho, asegúrate de descargar esta guía de referencia ahora y fijarla en un lugar visible para que tus decisiones futuras sean seguras.