GestorUsuarios/admin/Login

La página del BOP explica el circuito con orden: la entidad se adhiere, una persona con autoridad firma, y esa persona autoriza a otras «a través de un sistema de gestión de permisos habillitado al efecto». La página tiene erratas («habillitado», «gesores», «Worpress») y ninguna importa. Lo que importa es una dirección. Las personas autorizadas entran con DNI electrónico o certificado digital. Las «vinculadas con las EELL de la provincia», las entidades locales, tienen otra puerta: «nombre y contraseña de la Intranet provincial». Intranet es la red de dentro. Quédese con la palabra, que vuelve.

Cuarto epígrafe, «Sistema de gestión de usuarios de EELL». A la izquierda, una captura de pantalla del panel: un formulario de alta relleno con un usuario de ejemplo, subida a la web en octubre de 2017. A la derecha, la explicación: cada entidad local tiene designadas a una o más personas «vinculadas a la secretaría o personal técnico informático» que dan de alta usuarios y generan contraseñas. Y a continuación, el párrafo por el que esta página está en el museo.

«El sistema de gestión de usuarios a las entidades locales conectadas a la red provincial a través de la dirección», y detrás la dirección entera, en azul, pinchable, con orden de abrirse en una pestaña nueva. A la frase le falta el verbo. A la dirección no le falta nada: protocolo, máquina, puerto y ruta, y la ruta termina en /GestorUsuarios/admin/Login. Gestor de usuarios, zona de administración, pantalla de entrada.

La máquina empieza por 10. Una dirección IP es el número que identifica a una máquina en una red, y las que empiezan por 10 están reservadas para redes privadas: cualquier organización puede usarlas dentro de casa y ninguna se anuncia hacia fuera, así que desde fuera de esa red no llevan a esta máquina. Es «la red provincial» de la frase y la «Intranet provincial» del epígrafe anterior. El puerto 8080, la puerta concreta de la máquina, es el que suelen usar los servidores de aplicaciones. Es el plano de dónde está la puerta, con el nombre del pasillo.

El párrafo está escrito para la persona que gestiona usuarios en un ayuntamiento, que trabaja dentro de la red provincial y para quien el enlace tiene sentido. Pero la página vive en bop.dip-caceres.es, fuera de esa red, sin contraseña, enlazada desde el menú «Anunciantes» de las páginas del Boletín, y la lee cualquiera. Nosotros la leímos el 31 de agosto y otra vez el 14 de septiembre, y las dos copias son iguales byte a byte. El 23 de septiembre la volvimos a pedir y seguía igual.

En la foto y en las vitrinas la dirección aparece con la red tapada: los tres grupos de cifras que siguen al 10 los hemos sustituido nosotros por ▒. En la página están enteros. No hemos pinchado el enlace ni hemos intentado llegar a esa máquina, que no es lo que hacemos. El bloque está dos veces en el sitio, en «Autorizaciones» y en la ayuda «Los documentos». En una, el epígrafe dice «EELL» y el párrafo, «gesores»; en la otra, «EE.LL.» y «gestores». Dos copias del mismo bloque, mantenidas por separado, y la dirección es la misma en las dos.

La página lleva sus fechas escritas. La captura del panel se subió en octubre de 2017. El programa que la genera se declara dos veces en la parte de la página que no se pinta, la de los datos para el navegador: «Worpress», puesto a mano en la plantilla y con la errata incluida, y «WordPress 4.9.26», que escribe el propio WordPress, el programa con el que se montan muchas webs. La rama 4.9 es de noviembre de 2017 y el .26 son parches de seguridad publicados después sobre esa misma rama.

Al entregar la página, el servidor se presenta en una línea que el navegador recibe antes que ella y no enseña. Decía lo mismo el 31 de agosto, el 14 de septiembre y el 23: “Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips PHP/7.0.30”. Apache 2.4.6 y OpenSSL 1.0.2k son las versiones que traía CentOS 7, un sistema que dejó de recibir actualizaciones en junio de 2024. PHP 7.0.30 es de 2018, y la última versión de su rama salió en diciembre de ese año. El número dice de qué rama es cada pieza, no qué parches lleva la máquina, y eso no se ve desde fuera.

Hay más pasado en la página, aunque el navegador no lo enseñe. En el código de la barra de arriba, entre marcas de comentario, que le dicen al navegador que no pinte lo que hay dentro, sigue el menú de una versión anterior del sitio («Inicio», «Normativa», «Anunciantes», «Ayuda») con enlaces a páginas como Publico_1.html. Nuestro capturador lee el código, no la pantalla, y los siguió desde quince páginas distintas. De las 89 que trajo de bop.dip-caceres.es, 60 son esos cuatro enlaces devolviendo página no encontrada, siempre los mismos 21.213 bytes. Un menú tachado que sigue en la página, apuntando a páginas que ya no están.

Para las entidades que no tengan el sistema, la página ofrece la alternativa: un formulario firmado por quien tenga autoridad, enviado por correo electrónico. De los dos caminos, es el único que no pide estar dentro de la red provincial. El otro está descrito con todo detalle, con su máquina, su puerto y su ruta, en una página que se lee desde cualquier sitio.