Exposición de Gitea y n8n: por qué la configuración importa más que el número de activos

Escaneos recientes de internet han identificado cientos de miles de instancias accesibles públicamente de Gitea y n8n, dos populares herramientas autoalojadas para la gestión de código y la automatización de flujos de trabajo. Si bien el gran volumen de activos expuestos genera preocupaciones inmediatas, los expertos en seguridad enfatizan que la presencia de estos servicios en línea no equivale automáticamente a una brecha de seguridad. El factor crítico no es solo la visibilidad, sino cómo están configuradas estas plataformas para manejar las credenciales sensibles que almacenan en nombre de los usuarios.

Qué ocurrió

El 28 de octubre de 2026, mediciones recopiladas a través de la plataforma ZoomEye revelaron números significativos de activos indexados que se identificaban como aplicaciones específicas autoalojadas. El escaneo encontró 117.523 activos coincidentes con la firma de Gitea, un servicio Git ligero. Para n8n, una herramienta de automatización de flujos de trabajo, el recuento fue sustancialmente mayor, con 420.452 activos coincidentes con su firma de aplicación, además de 401.268 coincidencias basadas en títulos de página. Estas cifras representan el número de sistemas que respondieron a sondas de identificación, no necesariamente el número de servidores comprometidos o mal configurados.

El análisis destaca que tanto Gitea como n8n sirven como repositorios centrales de secretos. Gitea almacena claves de despliegue, secretos de webhook, tokens de acceso y, a menudo, claves SSH utilizadas para envíos de código (pushes). De manera similar, los flujos de trabajo de n8n contienen credenciales de API para diversos servicios externos integrados en procesos automatizados. Dado que estas plataformas concentran datos de autenticación de alto valor, cualquier instancia abierta al público en internet requiere un escrutinio riguroso. El riesgo no es simplemente el acceso no autorizado a la plataforma misma, sino el potencial robo de las credenciales de terceros almacenadas dentro de ella.

Detalles clave

• ZoomEye registró 117.523 instancias de Gitea y 420.452 instancias de n8n el 28 de octubre de 2026.
• Gitea almacena elementos sensibles como claves de despliegue, secretos de webhook y claves SSH junto con los repositorios de código.
• Los flujos de trabajo de n8n incrustan credenciales de API para servicios externos conectados, lo que los convierte en objetivos de alto valor.
• La configuración predeterminada de Gitea incluye INSTALL_LOCK para asegurar la página de instalación y DISABLE_REGISTRATION para prevenir registros no autorizados.
• Las instancias de n8n a menudo requieren accesibilidad pública para webhooks, aumentando su exposición en comparación con las configuraciones de Gitea restringidas solo a VPN.
• Los recuentos de activos no indican vulnerabilidad; muchas instancias indexadas pueden estar correctamente endurecidas con inicio de sesión único (SSO) y acceso restringido.

Contexto

El software autoalojado otorga a las organizaciones control sobre sus datos e infraestructura, pero también transfiere toda la responsabilidad de la seguridad al operador. A diferencia de los servicios cloud gestionados donde el proveedor se encarga de parchear y controlar el acceso, las instancias autoalojadas dependen del administrador para configurar correctamente los ajustes de seguridad desde el primer día. Herramientas como Gitea y n8n están diseñadas para integrarse profundamente con otros sistemas, lo que hace necesario almacenar tokens de autenticación y claves localmente. Esta elección arquitectónica crea un efecto de "bóveda de credenciales", donde comprometer el host permite acceder a múltiples servicios externos.

La discrepancia en la visibilidad pública entre Gitea y n8n proviene de sus patrones típicos de despliegue. Gitea suele ser utilizado por equipos de desarrollo que pueden acceder a él mediante una VPN corporativa, permitiendo que permanezca invisible para el público en internet. En contraste, n8n depende de webhooks para recibir disparadores de proveedores externos como pasarelas de pago o sistemas CRM. Este requisito funcional a menudo fuerza a que las instancias de n8n sean alcanzables públicamente, haciéndolas más propensas a aparecer en escaneos de todo internet. Comprender esta distinción ayuda a contextualizar por qué n8n aparece con más frecuencia en índices públicos a pesar de que ambas herramientas son ampliamente adoptadas.

Por qué importa

Para los equipos que ejecutan su propio software, estos hallazgos subrayan el peligro de los despliegues de "configurar y olvidar". Es común que los administradores instalen una herramienta para evaluación o configuración inicial y la dejen funcionando con configuraciones predeterminadas. En Gitea, si INSTALL_LOCK no está habilitado, la página de configuración inicial permanece accesible, lo que podría permitir a un atacante restablecer ajustes administrativos. De manera similar, si el registro no está deshabilitado, usuarios no autorizados pueden crear cuentas y potencialmente acceder a repositorios internos o definiciones de flujos de trabajo. Estos descuidos no son exploits complejos, sino simples brechas de configuración que dejan la puerta abierta.

La acumulación de credenciales obsoletas plantea otra amenaza silenciosa. Las plataformas de automatización como n8n tienden a crecer orgánicamente, con nuevas integraciones añadidas con el tiempo. Los viejos flujos de trabajo que se conectan a servicios obsoletos o utilizan credenciales de ex empleados a menudo permanecen activos porque eliminarlos parece arriesgado. Si una instancia está expuesta, los atacantes pueden cosechar estos tokens olvidados. Las auditorías regulares tanto de los controles de acceso de la plataforma como de los secretos específicos almacenados dentro de los flujos de trabajo son esenciales para mantener una postura segura. El alto número de activos indexados sugiere que muchas organizaciones podrían no estar realizando estas comprobaciones rutinarias.

Qué puedes hacer

• Verifica que INSTALL_LOCK esté establecido en true en tu configuración de Gitea para bloquear el acceso al asistente de instalación.
• Asegúrate de que DISABLE_REGISTRATION esté habilitado en Gitea a menos que tengas la intención específica de permitir registros públicos.
• Revisa los ajustes de gestión de usuarios de n8n para confirmar que solo el personal autorizado pueda crear cuentas o modificar flujos de trabajo.
• Audita todas las claves de despliegue y secretos de webhook en Gitea, eliminando aquellos que pertenezcan a personal que ya no trabaja allí o proyectos no utilizados.
• Revisa los flujos de trabajo de n8n en busca de credenciales de API obsoletas y rota las claves para cualquier servicio que todavía esté en uso activo.
• Considera colocar las instancias autoalojadas detrás de un proxy inverso o una VPN para limitar la exposición pública solo a los endpoints necesarios.