~/tools / Prompt Redactor
Prompt Redactor — Oculta claves, tokens y datos personales antes de pegar en una IA
Oculta claves de API, tokens, claves privadas, correos, direcciones IP y números de tarjeta antes de pegar un texto en un chat de IA, y luego devuelve los originales a la respuesta. Nada sale de tu navegador.
Texto enmascarado
El texto enmascarado aparece aquí.
Esto encuentra texto con una forma reconocible. No puede encontrar información confidencial escrita en frases corrientes, así que no encontrar algo no significa que sea seguro.
Lee el texto enmascarado antes de enviarlo.
Los formatos de claves se comprobaron con la documentación de los proveedores y con los RFC el 2026-10-23.
Todo se ejecuta en tu navegador. Ni tu texto ni la tabla de restauración se suben.
Los prompts suelen contener más de lo que querías compartir: una cadena de conexión en un seguimiento de pila, una clave en un archivo de configuración, el correo de un cliente en una línea de registro. Esta herramienta encuentra secretos y datos personales que tienen una forma reconocible y sustituye cada uno por un marcador como [EMAIL_1]. El mismo valor recibe siempre el mismo marcador, así que la IA todavía puede seguir cuál es cuál. Cuando la IA responde, pega su respuesta en el cuadro de restauración y tus originales se vuelven a colocar. Encuentra patrones, no significado: un texto sin forma fija, como un plan confidencial escrito en frases, no se detecta. Lee siempre el resultado antes de enviarlo.
Casos de uso
- Limpiar un seguimiento de pila, un fragmento de registro o un archivo de configuración antes de pedir a una IA que lo depure
- Compartir un fragmento de código que contiene una cadena de conexión o un token
- Sustituir correos y direcciones IP reales por marcadores en la transcripción de una conversación de soporte
Cómo usarlo
- Pega tu texto o carga el ejemplo.
- Revisa la lista de lo detectado y desmarca lo que no quieras ocultar.
- Copia el texto enmascarado en el chat de IA.
- Pega la respuesta de la IA en el cuadro de restauración para devolver tus valores reales.
Qué puede encontrar
La herramienta reconoce el texto por su forma. Estos son los formatos que identifica por un prefijo o una estructura documentados.
| Tipo | Qué busca | Qué está documentado |
|---|---|---|
| Clave privada | Un bloque desde -----BEGIN … PRIVATE KEY----- hasta la línea END correspondiente | El RFC 7468 define las líneas BEGIN y END y las etiquetas PRIVATE KEY y ENCRYPTED PRIVATE KEY. Las etiquetas RSA, EC y OPENSSH son una convención. |
| ID de clave de acceso de AWS | AKIA o ASIA seguido de 16 letras mayúsculas o dígitos | AWS documenta los prefijos: AKIA para las claves de acceso, ASIA para las claves temporales. Sus ejemplos tienen 20 caracteres de longitud. |
| Token de GitHub | ghp_, gho_, ghu_, ghs_, ghr_ o github_pat_ | GitHub documenta los prefijos. La longitud y los caracteres no están documentados. |
| Token de Slack | xoxb-, xoxp-, xapp- o xwfp- | Slack documenta estos prefijos. |
| Clave de Stripe | sk_, pk_ o rk_ seguido de test_ o live_ | Stripe documenta estos prefijos. |
| Clave de API de Anthropic | sk-ant-api… | Anthropic documenta solo el prefijo. |
| JWT | Tres partes en base64url separadas por puntos, la primera empezando por eyJ | El RFC 7519 define las tres partes. Empezar por eyJ es un patrón habitual, no una regla. |
| Encabezado Authorization | Bearer, Basic o Token seguido de una credencial | El RFC 6750 define Bearer y el RFC 7617 define Basic. |
| Contraseña en una URL | scheme://user:password@host | El RFC 3986 dice que la forma user:password está en desuso. |
Patrones que parecen secretos
Algunos formatos no tienen una forma publicada. Las claves de OpenAI, las claves de API de Google y la asignación de un valor a un nombre como password, secret o api_key se detectan por suposiciones, así que pueden dejar pasar una clave o enmascarar algo inofensivo. La herramienta los muestra en un grupo aparte para que puedas desactivarlos.
Los números de tarjeta deben tener de 13 a 19 dígitos, empezar como los de una red de tarjetas importante y superar el dígito de control de Luhn. La comprobación del inicio del número evita que se trate como tarjetas a las marcas de tiempo de 13 dígitos. El número de tarjeta de prueba documentado por Stripe, 4242 4242 4242 4242, se detecta.
Por qué los marcadores conservan su nombre
El mismo valor recibe siempre el mismo marcador, y cada valor distinto recibe su propio número: [EMAIL_1], [EMAIL_2]. La IA puede seguir razonando sobre cuál es cuál, por ejemplo que [IP_1] no puede alcanzar a [IP_2], sin ver las direcciones reales.
Cuando pegas la respuesta de la IA en el cuadro de restauración, cada marcador que conservó se sustituye por el valor original. Si la IA reescribe o elimina un marcador, ese no se puede restaurar.
Lo que no encontrará
- Nombres, direcciones y números de teléfono escritos en frases.
- Nombres de host internos, ID de clientes, nombres en clave de proyectos y otras palabras que solo son secretas por el contexto.
- Claves con un formato que no conoce.
- Un secreto que ya se pegó en otro sitio. Enmascarar ahora no lo recupera.
Lee el texto enmascarado antes de enviarlo. No encontrar algo no es prueba de que sea seguro.
Fuentes (comprobadas el 2026-10-23): RFC 7468: Textual Encodings of PKIX, PKCS, and CMS Structures / RFC 7519: JSON Web Token (JWT) / RFC 6750: The OAuth 2.0 Bearer Token Usage / RFC 7617: The 'Basic' HTTP Authentication Scheme / RFC 3986: Uniform Resource Identifier (URI): Generic Syntax / AWS IAM: Understanding unique ID prefixes / GitHub Docs: About authentication to GitHub / Slack: Tokens / Stripe: API keys / Stripe: Testing
FAQ
¿Qué detecta?
Bloques de clave privada, JWT y tokens cuyo prefijo documenta el proveedor (ID de clave de acceso de AWS, claves de GitHub, Slack y Stripe, claves de Anthropic); encabezados Authorization, contraseñas en URL y valores asignados a nombres como password o api_key; y datos personales: direcciones de correo, direcciones IPv4 y números de tarjeta que superan la comprobación de Luhn.
¿Por qué algunas detecciones se llaman patrones que parecen secretos?
Los proveedores documentan el prefijo de algunas claves pero no su longitud ni sus caracteres exactos, y algunos formatos, como las claves de OpenAI, no están documentados en absoluto. Esas comprobaciones son suposiciones basadas en la forma, así que pueden dejar pasar una clave o enmascarar algo inofensivo. Desmarca una categoría si te estorba.
¿Garantiza que no queda nada sensible?
No. No puede reconocer secretos sin forma fija, un nombre escrito dentro de una frase ni una clave con un formato que no conoce. Lee el texto enmascarado antes de enviarlo.
¿Cómo funciona la restauración?
La herramienta guarda una tabla con los marcadores y los valores que sustituyeron, solo en la memoria de esta página. Cuando pegas la respuesta de la IA, cada marcador conocido se vuelve a cambiar por su valor. Si recargas la página la tabla desaparece, así que mantén la página abierta mientras trabajas.
¿Por qué un número que quería conservar se convirtió en [CARD_1]?
La detección de tarjetas busca de 13 a 19 dígitos que empiezan como los de una red de tarjetas importante y superan la comprobación de Luhn, por lo que un número sin relación puede coincidir por casualidad. Desmarca Números de tarjeta para desactivarla.
¿Se envía mi texto a un servidor?
No. Tanto la detección como la restauración se ejecutan en tu navegador.