La contraseña, en la dirección

Un formulario de una página web puede mandar lo que se escribe de dos maneras. Con POST, los datos van en el cuerpo de la petición, que no se ve en ninguna parte. Con GET, van pegados al final de la dirección, detrás de un interrogante, a la vista de cualquiera que mire la barra del navegador. Para buscar algo, GET es lo correcto: por eso una búsqueda se puede guardar en favoritos. Para una contraseña, no.

La norma del lenguaje dice qué pasa cuando el formulario no elige: si no se declara el método, es GET. Es el valor por defecto escrito en el estándar desde que existen los formularios. Y el de Mi BOE no lo declara: abre con la dirección a la que envía, el nombre del formulario y una instrucción para que el navegador no recuerde lo escrito. De método, nada.

Se lo preguntamos al propio navegador. Copiamos el formulario tal como lo sirve el BOE en una página nuestra, apuntando a nuestro propio servidor. Al BOE no le hemos enviado nada, ni lo vamos a hacer. Escribimos un correo inventado y una contraseña inventada, y le preguntamos a Chrome qué método le corresponde a ese formulario. Contestó: get. Después le pedimos la dirección que construiría al pulsar «Acceder». La devolvió entera, con el correo y con la contraseña, tal cual se escribió. El 26 de septiembre lo repetimos y contestó lo mismo. Con datos de verdad, esa dirección sería la del BOE seguida del correo y la contraseña de quien entra.

Ahora, lo importante: qué significa y qué no. La conexión con el BOE va cifrada, así que esa dirección no viaja a la vista por la red. Lo que ocurre con las direcciones es otra cosa: se guardan. Quedan escritas en el historial del navegador, donde las ve cualquiera que use ese ordenador después. Y suelen quedar en los registros del servidor, que es donde se apunta cada petición para saber qué se pidió y cuándo. Una contraseña no debería estar escrita en ninguno de esos sitios.

Hay algo más que no podemos saber desde fuera, y lo decimos: no hemos enviado ese formulario, así que no sabemos qué contesta el servidor cuando le llega la petición. Puede que la rechace y exija POST, y entonces lo que hay es un formulario que no funciona. Puede que la acepte. Lo que consta, y es lo que publicamos, es lo que el BOE sirve: un formulario de acceso sin método, y un navegador que, con él delante, prepara la contraseña en la dirección.

La página no tiene ningún programa que lo arregle. Trae el de reCAPTCHA de Google, el filtro contra robots, y unas líneas propias que solo meten su ficha en un campo oculto. El otro, el del menú desplegable, no nombra ni una vez un formulario, su envío o una contraseña: ni form, ni submit, ni login, ni passwd. Nada en la página intercepta el botón. Y el formulario lleva la señal de que alguien sí pensó en lo que se escribe: un atributo que pide al navegador que no rellene esos campos por su cuenta, puesto tres veces. Se cuidó eso. El método se quedó sin escribir.

El fichero que pedimos el 15 de septiembre de 2026 tiene la misma huella que el que guardamos el 31 de agosto. Es la misma página, con el mismo formulario, sirviendo la zona personal del boletín oficial del Estado. Quince días entre las dos copias, y ninguna diferencia. El 26 de septiembre, la misma huella otra vez: Mi BOE sigue pidiendo la contraseña con un formulario que no dice cómo mandarla.