Cuatrocientas sesenta y tres líneas para un cero

El formulario es de los completos: usuario, correo, contraseña, repetir contraseña, un captcha y un aviso de seguridad que hay que aceptar. A la derecha de la contraseña hay un contador rotulado Complejidad de la contraseña, que empieza en cero. Debajo, las reglas: de 8 a 30 caracteres, ni eñes ni acentos, y un grado de complejidad de al menos 60. Y dos botones, Mostrar contraseña y Generar contraseña.

Ese contador lo calcula un fichero llamado calculadorFortalezaContrasenya.js, de 16.591 bytes y 463 líneas de JavaScript, el lenguaje de los programas que corren en el navegador. Y se ejecuta entero en cada tecla: los dos campos, el de la contraseña y el de repetirla, lo llaman con cada pulsación, y la cuenta se rehace con la contraseña completa cada vez. Doce caracteres son doce vueltas al fichero, con sus bucles y sus expresiones regulares, los patrones con que se busca una forma dentro de un texto. No se nota, pero está pasando.

Lo que hace dentro tiene su mérito. Cuenta mayúsculas, minúsculas, números y símbolos. Detecta caracteres repetidos y penaliza. Detecta secuencias, tres letras, tres números o tres símbolos seguidos, y penaliza otra vez. Comprueba que la contraseña no sea un NIF, con un patrón de siete o más cifras y una letra mayúscula. Comprueba que no contenga el nombre de usuario. Suma, resta, y al final deja el resultado entre 0 y 100.

Por el camino se fabrica una herramienta que el lenguaje ya traía: una función para dar la vuelta a un texto, escrita a mano, carácter a carácter, y añadida a todos los textos del programa. JavaScript sabe hacerlo en una línea. Aquí ocupa nueve, y se usa tres veces, para buscar las secuencias también del revés. Nada de eso es un fallo: un contador en el navegador es lo que hay que hacer, porque su trabajo es avisar a quien teclea, ahí mismo y sin esperas. Lo curioso está en la página que lo carga.

Dentro del formulario hay un campo escondido, de los que no se ven en pantalla y viajan igual cuando uno pulsa el botón de enviar. Se llama idFuerzaContrasenyaAutoRegistro, algo así como fuerza de la contraseña del alta, y llega con el valor 0. O sea que, además de enseñarle el número a quien se registra, la página tiene preparado un sitio para mandárselo al servidor, el ordenador de la Plataforma que recibe el alta.

Quien lo rellena es una función, escribirFortaleza, que pinta la barra, escribe el número en pantalla y, si el campo escondido existe, le mete el valor. Es la única línea de la página que escribe ese campo. Y a esa función solo la llama un sitio: la respuesta de una petición al servidor que devuelve la palabra FORTALEZA y un número. El número que viaja lo calcula el servidor, y el navegador lo copia.

Falta saber cuándo se le pregunta al servidor. La petición vive en una función llamada calculoFortalezaAjax, y la página la llama una sola vez, dentro de un if, una condición: solo si la variable copiarContrasenyas es verdadera. Dos líneas más arriba, en el mismo bloque, la página trae escrito su valor: false. Así que, en la página tal como se abre, esa pregunta no se hace, y teclear la contraseña no la dispara.

Lo que no sabemos es si esa variable vale siempre false. Está escrita en la página que manda el servidor, y en todas las copias que tenemos, que son de la página recién abierta, vale false. El botón Generar contraseña envía el formulario al servidor, que devuelve la página otra vez. Qué trae entonces esa variable, cuyo nombre habla de copiar contraseñas, no lo hemos visto, porque el museo no envía formularios de nadie.

Lo escrito es esto. Mientras alguien teclea su contraseña en la página recién abierta, el contador de la pantalla sube y baja con las 463 líneas del navegador, y el campo escondido no se entera: sigue en el cero con que llegó. La cuenta que la página tenía prevista para el servidor tiene su dirección escrita ahí arriba, la de un servlet, un programa del servidor que contesta peticiones, llamado CalculoFortalezaPasswordAjaxServlet. Esa pregunta no se hace.

Qué hace el servidor con ese cero cuando le llega el alta no lo sabemos, y no vamos a averiguarlo: habría que enviar el formulario. Puede que lo ignore y haga su propia comprobación. Lo que se puede afirmar es lo que está en la página: el número que prepara para mandar no cambia al teclear, y lo que calculan las 463 líneas a cada tecla se queda en la pantalla.

Y sigue igual. El fichero que pedimos el 15 y el 26 de septiembre de 2026 tiene la misma huella y los mismos 16.591 bytes que el que guardamos el 4. La página conserva la variable en false, el campo escondido con su cero y las cuatro llamadas al calculador, dos por campo. La copia del 4 se sirvió en inglés y la del 26, en español: las mismas líneas, palabra por palabra.