Git como sistema
de colaboración.

Detén el uso de la credencial

La primera acción ocurre fuera de Git: revoca el token desde el gestor seguro del proveedor y genera uno nuevo. Git no puede invalidar una credencial filtrada. Registra el incidente según el procedimiento interno.

Retira el archivo y evita reincidencias

Elimina el archivo del índice con git rm --cached, pero conserva tu copia local. Añádelo a .gitignore y sustituye el valor por una referencia documentada a la variable segura.

$ git switch feature/checkout
$ git rm --cached config/payment.env
$ echo "config/payment.env" >> .gitignore
$ git add .gitignore config/payment.env.example
$ git commit -m "NC-SEC-331 Retira credencial y documenta variable segura"

Inspecciona el alcance antes de limpiar historia

Busca el archivo y posibles variantes dentro del historial. La limpieza histórica debe realizarse con el equipo avisado porque cambia hashes y obliga a recrear ramas afectadas.

$ git log --all -- config/payment.env
$ git grep -n "PAYMENT_TOKEN" $(git rev-list --all)
# seguridad coordina la limpieza con git filter-repo

Valida el repositorio corregido

Tras el procedimiento coordinado, confirma que el archivo no aparece en el historial remoto y que el escáner de secretos aprueba la rama antes de reabrir publicaciones.

$ git fetch --all --prune
$ git log --all -- config/payment.env
$ npm run security:secrets
✓ No exposed credentials found

Actualiza y localiza el merge exacto

Trabaja desde una copia limpia y actualizada. git log --first-parent simplifica el historial de main mostrando integraciones principales.

$ git switch main
$ git pull --ff-only
$ git log --first-parent --oneline -10
4e91bc2 Merge pull request #742 from feature/payment-adapter

Crea una rama de reversión

Aunque el incidente sea urgente, la rama protegida conserva el mismo proceso. git revert -m 1 revierte un merge manteniendo como base el primer padre, que corresponde a main antes de integrar el PR.

$ git switch -c revert/NC-INC-508-payment-adapter
$ git revert -m 1 4e91bc2
[revert/NC-INC-508-payment-adapter 91ad801] Revert "Merge pull request #742..."

Ejecuta validación focalizada y publica

Comprueba el flujo crítico de pagos y publica la rama para un pull request de emergencia. El equipo puede revisar exactamente qué se revierte.

$ npm test -- payments
$ git show --stat HEAD
$ git push -u origin revert/NC-INC-508-payment-adapter

Conserva evidencia para el análisis

Después de estabilizar producción, crea una rama desde el commit defectuoso para investigar sin reintroducirlo en main.

$ git switch -c investigation/NC-INC-508 4e91bc2
$ git show --name-status 4e91bc2

Detén las operaciones destructivas

No ejecutes nuevos reset, rebase o limpieza. Consulta el estado para saber si Git todavía considera activo el rebase. Si continúa activo, cancélalo de forma explícita.

$ git status
rebase in progress
$ git rebase --abort

Busca el punto anterior en reflog

git reflog registra movimientos locales de HEAD. Identifica la referencia anterior al inicio del rebase y crea inmediatamente una rama de respaldo.

$ git reflog --date=local
81bd9a2 HEAD@{4}: rebase (start): checkout origin/main
cc72e18 HEAD@{5}: commit: NC-2250 Añade filtros del panel
$ git switch -c recovery/NC-2250-panel cc72e18

Compara la recuperación con el remoto

Inspecciona qué commits existen únicamente en la rama recuperada. git log remoto..local lista el trabajo pendiente sin modificar referencias.

$ git fetch origin
$ git log --oneline origin/feature/NC-2250-panel..recovery/NC-2250-panel
cc72e18 NC-2250 Añade filtros del panel
bd418a0 NC-2250 Conecta consulta del panel

Publica una rama nueva para revisión

Publicar la recuperación con otro nombre evita sobrescribir la referencia remota existente. El equipo compara ambas ramas antes de decidir si reemplaza la anterior.

$ npm test
$ git push -u origin recovery/NC-2250-panel

Fusiona main y limita el análisis

Actualiza referencias, integra y lista archivos conflictivos. Evita editar otros módulos hasta resolver el recurso afectado.

$ git fetch origin
$ git merge origin/main
$ git diff --name-only --diff-filter=U
infra/prod/database.tf

Compara ambos bloques completos

Lee las variantes del índice de merge. Necesitas comprender la intención de cada equipo: capacidad por rendimiento y cifrado por cumplimiento.

$ git show :2:infra/prod/database.tf
$ git show :3:infra/prod/database.tf

Valida formato y genera un plan

Después de combinar ambos atributos, prepara el archivo y ejecuta validaciones estáticas. terraform plan muestra el efecto esperado sin aplicarlo.

# conserva allocated_storage y storage_encrypted
$ terraform fmt -check infra/prod
$ terraform validate
$ terraform plan -out plan.tfplan
Plan: 0 to add, 1 to change, 0 to destroy.
$ git add infra/prod/database.tf
$ git commit -m "NC-2298 Combina capacidad y cifrado de base de datos"

Publica para ejecución controlada

El pull request adjunta el plan. Plataforma revisa que no haya destrucciones y CI aplica el cambio tras aprobación.

$ git push -u origin feature/NC-2298-database-capacity

Parte de la release desplegada

Actualiza referencias y crea una rama de parche desde la versión exacta en producción. No partas de main, que puede incluir cambios futuros.

$ git fetch --prune origin
$ git switch -c security/NC-INC-612-input-validation origin/release/3.8

Aplica solo los commits aprobados

git cherry-pick incorpora commits concretos sin fusionar todas las ramas de origen. Aplica primero la corrección y después sus pruebas para que el historial sea legible.

$ git cherry-pick 7bd31c2
$ git cherry-pick a81e930
$ git log --oneline -3

Valida y firma el parche integrador

Ejecuta pruebas y escaneo de seguridad. Si la empresa exige un commit integrador firmado, crea uno vacío que documente la aprobación del paquete exacto.

$ npm test -- security
$ npm run security:scan
$ git commit --allow-empty -S -m "NC-INC-612 Certifica parche de validación de entradas"
$ git log --show-signature -1

Publica para revisión coordinada

La rama se publica y los equipos de backend y seguridad revisan hashes, firma y resultados automatizados antes de desplegar.

$ git push -u origin security/NC-INC-612-input-validation