Cadena de suministro · regla · hallazgo, con severidad
suministro.cdn-comprometido
La página pide un script de un CDN que se sabe comprometido: el de polyfill.io pasó a otro dueño en 2024 y sirvió código malicioso (Sansec, 25-jun-2024), con bootcss, bootcdn y staticfile del mismo operador.
4
webs con datos en las que sale hoy
0,0 % de 8.501 webs con datos, de los 11.058 dominios de la semilla: los que nos sirvieron páginas, cada uno en su captura de datos · base de datos del 10 nov 2026 · por captura: 22 oct 2026: 2, 26 oct 2026: 1, 5 nov 2026: 1
- La decide
- un programa
- Severidad
- alto
- Norma
- no cita ninguna
- Leída a ciegas
- 5 de noviembre de 2026
- Programa
regla_suministro.py
5 de 5
5 de 5 ciertas · muestra pequeña, sin porcentaje
leída el 5 de noviembre de 2026 · intervalo de Wilson al 95 % · la marca es el listón del 90 % · muestra pequeña: menos de 10 decididas
leídas 5 · ciertas 5 · falsas 0 · sin decidir 0 · a medias 0
Quien lee es un agente de Claude que no ve lo que dijo la regla ni el modelo: solo la fila y el fichero guardado.
Qué mira
La página pide un script de un CDN que se sabe comprometido: el de polyfill.io pasó a otro dueño en 2024 y sirvió código malicioso (Sansec, 25-jun-2024), con bootcss, bootcdn y staticfile del mismo operador. Basta con que la página lo pida, aunque ese nombre no resuelva hoy (la fila lo dice): el dominio sigue en manos de quien lo tiene.
De qué norma sale
no consta
Su descripción no cita ninguna norma: no consta de qué obligación sale.
El umbral de la severidad
medio si se pide por http desde una página https, que el navegador bloquea.
Cómo se comprueba una fila
Se abre el fichero guardado de fichero (5 de 5 filas), se recalcula su sha256; se busca la cita, literal en la linea; se puede pedir de nuevo la pagina, que hoy puede ser otra. Una ausencia («no consta») no tiene cita: se comprueba que no está en las páginas que dice extra.
sus 5 filas actuales llevan: fichero 5 · sha256 5 · línea 5 · cita 5 · página 5 · entre capturas: 6 vistas por primera vez · 3 siguen · 1 desaparecidas
Un caso real
Esta regla se cuenta solo en agregado, sin nombrar organismos, como en el mapa de conexiones: qué sitio carga código de un servicio comprometido es una lista para atacar. Sus filas cuentan en las cifras de arriba.