Formularios
Un formulario es lo que convierte una página en un trámite: la casilla donde se escribe, el botón que la manda y la dirección a la que va lo escrito. La captura apuntó 133.892 en 926 dominios. Aquí están contados uno a uno, y delante de cada recuento está la etiqueta que lo declara.
De los 30.065 formularios distintos del archivo, 27.793 se han vuelto a buscar en el fichero guardado y su etiqueta ha aparecido entera. Solo esos cuentan.
Qué es un formulario para el servidor que lo recibe
Para quien mira la pantalla, un formulario es un recuadro con casillas. Para el servidor es un sobre. La etiqueta que lo abre lleva escrito a dónde se manda el sobre y de qué manera, y dentro van las casillas, cada una con su nombre. Al pulsar el botón, el navegador cierra el sobre y lo lleva a esa dirección con esos nombres. Nada de eso hay que adivinarlo: está escrito en la página, en texto, y se lee sin ejecutar nada y sin escribir en ninguna casilla.
Son cuatro partes y cada una tiene su palabra. A dónde va se llama «acción». Cómo va se llama «método». Qué lleva son las casillas con nombre, incluidas las que el visitante no ve. Y quién lo dispara es el botón. Este museo no ha enviado ni un formulario, ni de prueba: todo lo que sigue sale de leer esas cuatro partes en 27.793 formularios distintos.
<form action="/tramites/alta" method="post"> <input type="text" name="nombre"> <input type="password" name="clave"> <button>Enviar</button> </form>
- accióna dónde vala dirección que recibe lo escrito
- métodocómo vapor dentro del envío, o a la vista en la propia dirección
- casillasqué llevauna por dato, incluidas las que el visitante no ve
- botónquién lo disparalo que cierra el sobre y lo manda
Cuántos hay, y por qué el número grande no es el bueno
El capturador apunta cada formulario de cada página que descarga. Guardó 133.892 y dejó anotado que había visto 882.815: de cada dominio se queda con los doscientos primeros, y 617 de los 926 dominios llegaron a ese tope. Lo guardado es una muestra grande, no un censo, y conviene decirlo antes que la cifra.
Hay otro motivo para desconfiar del número grande. El buscador que sale en la cabecera de un sitio se apunta una vez por página, así que doscientas páginas dan doscientos formularios que son el mismo. Contarlos así no mide formularios: mide páginas. Aquí se agrupan —mismo sitio, mismo destino, mismo método y las mismas casillas es un formulario— y quedan 30.065.
De esos 30.065, cada uno se ha buscado otra vez en la página guardada en disco. 27.793 han aparecido con su etiqueta entera y una sola vez: son los únicos que cuentan en todo lo que sigue. Los 2.272 restantes se caen —la página ya no está en el archivo, o en ella había dos etiquetas idénticas y no se puede decir cuál era— y no suman en ninguna cifra de esta página, aunque existan.
- formularios vistos durante la captura882.815contados por el capturador en las páginas que descargó · de cada dominio guardó los 200 primeros
- apariciones guardadas en el archivo133.892una aparición es un formulario en una página · 926 dominios · 617 llegaron al tope
- formularios distintos30.065mismo dominio, mismo destino, mismo método y las mismas casillas cuentan una vez
- comprobados contra el fichero en disco27.79392 % de los 30.065 · su etiqueta aparece entera en la página guardada · el resto no cuenta en ninguna cifra
- 27.793su etiqueta está en el fichero
- 1.254dos etiquetas idénticas en la página
- 587la etiqueta ya no casa con lo guardado
- 431la página no está en el archivo
Por dentro del sobre, o escrito en la dirección
Hay dos maneras de mandar lo escrito, y el código dice cuál. Por POST viaja dentro del envío y no aparece en la barra de direcciones. Por GET viaja en la propia dirección, detrás de un interrogante, y ahí se queda: en la barra, en el historial del navegador y en el registro del servidor que lo atiende. Y, según lo que cada sitio permita, también en el aviso de procedencia que el navegador entrega al sitio siguiente cuando se pincha un enlace.
Para buscar, GET es lo suyo: la dirección lleva la búsqueda dentro, se guarda en favoritos y se puede mandar a otra persona tal cual. Para un dato que no debería quedar escrito por ahí, no. Ésa es toda la diferencia, y es la razón de que valga la pena contarlo.
Contando copias gana GET: 84.648 de las 133.892 guardadas. Contando formularios distintos gana POST: 18.357 de 27.793. Las dos cifras dicen lo mismo desde dos sitios. Lo que se repite en todas las páginas de un sitio es la caja de búsqueda, y la caja de búsqueda va por GET; en cuanto se cuenta una sola vez, el reparto se da la vuelta.
Queda un tercer estado, que no se ve sin volver al fichero: no decir nada. 4.780 de los 9.432 formularios que salen por GET no llevan el método escrito. No cambia lo que hacen —el estándar manda que, a falta de instrucción, el envío sea por GET—, pero uno declara una decisión y el otro hereda la que se tomó en 1993.
CONTANDO COPIAS
133.886 en total
CONTANDO FORMULARIOS
27.789 en total
- declaran el método por escrito4.652la etiqueta lleva method="get": es una decisión tomada
- no declaran método4.780el estándar manda GET a falta de instrucción, así que hacen lo mismo sin decirlo
A dónde va lo que se escribe
La dirección de destino está en la etiqueta, y casi siempre es del mismo sitio. En 73 de los 27.793 formularios no lo es: lo escrito en la casilla se lo lleva otra casa. Casi todos son buscadores —21 mandan a servidores de Google— o gestores de boletines. No es un descuido: es una decisión de quien montó la página, y se lee entera en una línea.
<form class="external" action="//cse.google.com/cse" id="cse-search-box" target="_blank">
El caso de al lado es el mismo mecanismo visto desde el otro extremo. La casilla manda a Google y, justo antes de salir, un trozo de código añade el nombre del sitio a lo que se ha escrito, para que Google devuelva solo resultados de esa casa. Se ve en la propia etiqueta, sin abrir nada más.
<form role="search" action="https://www.google.es/search" method="get" name="googleForm" class="buscador_cab d-none" onsubmit="javascript:document.getElementById('q').value=document.getElementById('q').value + ' site:uned.es';">Sobre 73 formularios que mandan fuera de su dominio, en 56 dominios · medido el 28 de septiembre de 2026. La barra va a escala de la mayor de la lista, 15; el porcentaje, sobre los 73 de la base.
Y 21 formularios están en una página cifrada y apuntan a una dirección sin cifrar: lo que se escriba en ellos saldría sin la protección con la que llegó la página. Los navegadores de hoy no lo mandan sin preguntar. Chrome, por ejemplo, detiene el envío y enseña una pantalla de aviso que dice que la información no va protegida, con un botón para mandarla igualmente.
<form action="http://www.ujaen.es/search">
Qué se pide, y qué no significa pedirlo
Cada casilla lleva un tipo y un nombre, y con eso se sabe qué pide un formulario sin escribir en él. La casilla más repetida del archivo no se ve: 10.875 de los 27.793 formularios llevan al menos una casilla oculta, con su nombre y su valor ya puestos, que el visitante no rellena y el navegador manda igual. Es normal y casi siempre inofensivo —así se acuerda el servidor de en qué página estabas—, pero conviene saber que va.
835 formularios piden una contraseña, repartidos por 215 dominios. 74 piden un documento de identidad —DNI, NIF o NIE— en 30 dominios. 1.387 piden un correo, en 187. Ninguna de las tres cifras es un hallazgo por sí sola: una sede donde se hacen trámites tiene que pedir el documento, y para entrar hay que dar una contraseña. Lo que se cuenta aquí es qué hay, no qué está mal.
De los 835 con contraseña, 30 salen por GET y 20 de ésos no llevan el método escrito. No se dice cuáles ni dónde, y no por prudencia vaga: señalar una puerta de entrada con la dirección puesta es dar instrucciones, y este museo no las da. Lo que sí se puede decir es el mecanismo —por GET, lo escrito acaba en la dirección— y que cada uno de esos casos hay que mirarlo por separado, porque el código de la página puede quedarse el envío antes de que salga y eso no está escrito en la etiqueta.
Un formulario cuenta una vez por tipo, lleve una casilla de ese tipo o siete · porcentaje sobre los 27.793 comprobados. La barra va a escala de la mayor de la lista, 10.875; el porcentaje, sobre los 27.793 de la base.
Nombres de casilla que no eligió ninguna persona
El nombre de una casilla suele decir qué se espera dentro: «nombre», «correo», «expediente». Los dos más repetidos del archivo no dicen nada de eso, y no los escribió nadie: los pone el gestor de contenidos en todos los formularios que genera. Son la firma del programa, no del programador, y aparecen idénticos en decenas de sitios que no tienen ninguna relación entre sí.
Nombres de casilla más repetidos, sobre 27.793 formularios comprobados · se cuenta el formulario, no las veces que el nombre sale dentro de él. La barra va a escala de la mayor de la lista, 2.926; el porcentaje, sobre los 27.793 de la base.
Afirmar de memoria qué gestor pone cada nombre sería fiarse de la memoria, así que se ha cruzado con el detector de la casa, que identifica el gestor por otra vía —cabeceras, rutas y scripts— y no mira los formularios. En los dominios que tienen las dos cosas, las dos dan lo mismo.
- form_build_id · lo pone Drupal12 de 122.912 formularios en 66 dominios · de los que tienen ficha de tecnología, en 12 el detector ya había identificado Drupal por otra vía
- Itemid · lo pone Joomla4 de 4716 formularios en 17 dominios · de los que tienen ficha de tecnología, en 4 el detector ya había identificado Joomla por otra vía
- p_p_id · lo pone Liferay3 de 3294 formularios en 11 dominios · de los que tienen ficha de tecnología, en 3 el detector ya había identificado Liferay por otra vía
- javax.faces.ViewState · lo pone JavaServer Faces4 de 5614 formularios en 18 dominios · de los que tienen ficha de tecnología, en 4 el detector ya había identificado JavaServer Faces por otra vía
«Coinciden» son los dominios con ficha de tecnología en los que el detector de la casa —que mira cabeceras, rutas y scripts, y no mira formularios— ya había identificado ese mismo gestor. El cruce solo se puede hacer donde hay ficha, y no todos los dominios del archivo tienen ficha: la última columna dice sobre cuántos se ha podido comprobar cada fila, y sobre esos y ninguno más.
Formularios que no son para que nadie los rellene
9.397 de los 27.793 formularios declaran como destino una almohadilla, que es el atajo de toda la vida para decir «esta misma página, y no te muevas de aquí». Y 11.734 no tienen ni una casilla con nombre, así que no habría nada que mandar aunque se mandaran. Los dos conjuntos se solapan casi del todo, y lo que hay debajo no es un descuido de nadie: son formularios que no existen para que una persona escriba en ellos.
El caso más repetido tiene nombre propio y aparece igual en 101 dominios sin ninguna relación entre sí. Es un formulario vacío y escondido que la plataforma deja puesto en cada página para poder mandar un enlace corriente como si fuera un envío de formulario, que es la manera que tiene de pasar datos de una pantalla a la siguiente. Quien lo ve por primera vez cuenta un formulario más; lo que ha contado es una tubería con forma de formulario.
<form action="#" aria-hidden="true" class="hide" id="hrefFm" method="post" name="hrefFm">
El extremo contrario también está. En 20 formularios la dirección de destino no es una dirección: es la llamada a un trozo de código de la propia página, escrita en el hueco donde debería ir el sitio al que se manda. Sin ese código el formulario no va a ninguna parte, y con él va donde el código quiera, que ya no se lee en la etiqueta. Es una manera de escribirlo que dejó de estilarse hace veinte años y sigue aquí.
<form action="javascript:buscar()">
Lo que estas cifras no pueden decir
- Es una muestra, no un censo
De cada dominio se guardaron los 200 primeros formularios. 617 dominios llegaron a ese tope, así que de ellos falta lo que hubiera después. Y de cada formulario se leyeron como mucho 40 casillas y los primeros 6.000 caracteres: un formulario muy largo aparece aquí con menos casillas de las que tiene.
- La etiqueta no dice qué pasa después
Todo esto se lee en el HTML. Un trozo de código de la página puede quedarse el envío antes de que salga y mandarlo de otra manera, o a otro sitio, y eso no está escrito en la etiqueta. Cuando lo que se afirma depende de ese código, aquí no se afirma.
- Y no dice quién es cada uno
De los 820 dominios con formulario comprobado, 142 tienen la titularidad pública probada por un documento y 173 la tienen por una señal fuerte. Los demás se cuentan, porque contar no señala a nadie, pero no se citan: las etiquetas que se enseñan aquí salen todas de dominios del primer grupo o del segundo.