Método

Tres cosas: tecnología que dejó de tener sentido hace años y sigue en producción; errores de lógica que se leen en el código, como un reloj que se mueve sumando uno a mano; y textos que dicen lo que no quieren decir. Nada de esto requiere ejecutar nada en el sitio: se lee.

La primera pasada es de programa: 36 detectores de patrones y 87 reglas de censo sobre los ficheros, y una lectura campo a campo de los 131.105 formularios. Es gratis, es determinista y no inventa; también es tonta, porque una expresión regular no sabe si lo que ha encontrado está en código vivo o en un comentario.

Antes de mirar nada se decide si el dominio se puede exponer. Solo se publican piezas de dominios cuya titularidad pública se puede probar con un documento; hoy son 378 de 2.172. Los demás se guardan y no se enseñan, aunque el nombre parezca inequívoco.

Y se ordena por peso: una sede electrónica donde se firma un trámite importa más que el folleto de una fiesta patronal.

Sobre lo que pasa el filtro trabajan modelos de lenguaje con papeles separados: uno lee el fichero entero y propone hallazgos, otro redacta y un tercero dirime cuando no se ponen de acuerdo. Toda afirmación sale con una cita literal.

La red que impide que leer se convierta en inventar es de programa, no de modelo: cada cita tiene que existir en el fichero guardado, una sola vez, en esa línea y en ese dominio. Lo que no pasa las cuatro pruebas se cae entero, lo haya encontrado una regla o un modelo. Antes de la pasada grande se calibró con 30 casos leídos a mano: el modelo citó literalmente en los 30 y rechazó 27.

Cada pieza cuenta una sola cosa, sobre un solo sitio, y termina con dos listas: lo que decimos y lo que no decimos. Se describe lo que el código hace; no se afirma que algo sea vulnerable, porque eso no se ha probado y no se va a probar.

Las citas se enseñan en su vitrina: el fichero, la línea, tres líneas antes y tres después. Cuando hace falta ver la página, se fotografía tal como la sirve el servidor, sin tocarla.

• No probamos nada contra los sitios.

  Ni contraseñas, ni inyecciones, ni herramientas de escaneo. Solo se leen los ficheros que el servidor entrega a cualquiera que abra la página.

• No decimos «vulnerable».

  Decimos «hay un eval() con datos de la URL en la línea 41». Lo primero es una conjetura; lo segundo, un hecho comprobable.

• No reconstruimos un síntoma en varios dominios.

  El formulario de un sitio no se parece al de otro. Lo que se comparte es la explicación de la tecnología; el caso concreto, nunca.

• No decimos «pagado con dinero público».

  Es más de lo que se puede probar. Lo defendible es «servido bajo un dominio de la Administración».

• No hacemos rankings de vergüenza.

  Se ordenan piezas, no organismos. Una tecnología se puede explicar; una institución no se puede avergonzar.

• No guardamos nombres de personas.

  Las citas que llevarían el nombre de una persona, en el código o en el HTML, no se publican.

• No publicamos lo que abriría una puerta.

  Las piezas que describen un mecanismo de acceso se publican sin los detalles que permitirían usarlo.

Si algo no es exacto

Si eres responsable de un sitio que aparece aquí y algo no es exacto, queremos saberlo antes que nadie. Una pieza que no se sostiene se retira entera: no se matiza, no se reescribe.

1. Escríbenos

   a correcciones@desgobiernodigital.com con la dirección de la pieza y qué afirmación consideras incorrecta. No hace falta más.

2. Comprobamos contra el archivo

   en un plazo de siete días. Si la cita no está en el fichero guardado, la pieza desaparece ese mismo día.

3. Si el sitio ha cambiado

   la pieza se queda, con la fecha del arreglo escrita en su cabecera. Un problema resuelto es parte de la historia, no una mancha.