Barrapunto

Quiero hacer dos pequeñas reflexiones. La primera es que esto no debería llevar a nadie a crear esquemas de URL para un sitio que sean complicadas ex professo. ¿Verdad que muchos se rompen la cabeza para comprar un nombre de dominio fácil de recordar? Eso es porque la URL es importante. Tener URL fáciles de recordar, o de dictar por teléfono, o de anotar en un papel, es importante (aún recuerdo cuando en un programa de radio intentaron dar una dirección de YouTube dictándola). Que no cambien a lo largo del tiempo aún más, ya que en ocasiones alguien puede querer leer un contenido que está en un sitio y al que está intentando llegar por un enlace que alguien puso hace mil años, y si la URL cambia una sola vez es un gran problema. Cool URIs don't change [w3.org] dijo Tim Berners-Lee.

Lo segundo, que cagadas como estas las hemos visto todos a cascoporro. Seguro. Cuando hice la selectividad, junto con un amigo, vimos las notas de todos los compañeros, sus preferencias de universidad, y donde habían sido admitidos, gracias a que las mirábamos por internet usando un número del formulario de preinscripción. Como notamos que nuestros formularios tenían un número que se diferenciaba sólo en un pequeño desfase en función de nuestro apellido, fue fácil ir sacando uno a uno los que quisimos.

Un compañero en la universidad sacó las fotos de los expedientes. Los expedientes sí iban por SSL y con autenticación, pero las fotos iban por HTTP y sin más. Evidentemente en la universidad luego lo detectaron, y pasaron a hacer las fotos privadas también. El problema no es buscar URL raras o aleatorias, sino hacer las cosas como tocan.

No hace falta crear esquemas de urls complicados para aumentar la seguridad. Eso es la misma idea de seguridad en la que se basan muchos sistemas privativos: en que no sabes dónde están las cosas. Aunque tal y como han hecho las cosas hasta ahora, no me extrañaría que lo hicieran.

Lo único que hay que hacer es o bien no subir los datos antes de tiempo, o bloquear su descarga/acceso antes de la hora a la que se quieren hacer públicos. Nada que no se consiga con un ligero conocimiento del servidor o del lenguaje que estés utilizando. Nunca entenderé por qué no contratan a gente que entienda para hacer las cosas.

No te ofendas, pero eso no es forma de proteger nada. Bastaría con quitar los permisos de acceso (o "no publicar", no hacer público) los directorios con los contenidos que no se quieren revelar. Apache, IIS y la mayoría de los servidores HTTP contemplan esa opción.

En cualquier caso, que haya pasado en una web tan importante nos da una idea de los expertos "telemáticos" que tenemos subcontratados a 900 / mes.