Documento DNI escaneado
La página de la convocatoria Marbella Crea, para jóvenes de 14 a 30 años, tiene un formulario con una casilla que se llama «Documento DNI escaneado». Desde que acabó el plazo, en octubre de 2025, la página lo esconde al abrirse. Pero lo sigue mandando entero, y en su configuración está escrito, cinco veces, en qué carpeta del disco del servidor iba a parar lo que se subiera.
- Dominio
- www.marbella.es
- Guardado
- 10 SEP 2026
- Comprobado en vivo
- 15 SEP 2026
- Citas
- 5 en 1 fichero guardado
- Lectura
- unos 4 min

Esa manera de montar formularios es corriente. El servidor pinta la página y, de paso, le deja al navegador un cuaderno con las instrucciones de cada campo: cómo se llama, si es obligatorio, qué validación tiene, qué mensaje sale si falla. El cuaderno viaja al ordenador de quien abre la página, porque es el navegador quien lo necesita. Lo que no hace falta es que lleve dentro cosas que solo le incumben al servidor.

La casilla que nos ocupa se llama «Documento DNI escaneado» y su configuración ocupa un par de líneas. Entre ellas, una llamada dir, de directorio, que dice dónde se guarda el fichero que se sube: una ruta de disco de Windows que empieza por C:, sigue por la carpeta donde el servidor de Microsoft guarda los sitios web y termina en una carpeta con el nombre de la convocatoria.
- Copia
- archivo
- Guardado
- 10 sep 2026
- Peso
- 415,0 kB
- sha256
- acdf761666e6…
- Tapado
- 4 tramos ▒
| 6534 | }); |
| 6535 | }); |
| 6536 | requirejs([' |
| 6537 | |
| 6538 | }); |
| 6539 | |
| 6540 | |
| 6541 | requirejs([' |
| 6542 | var form_19 = new FbForm(19, {"admin": |
| 6543 | Fabrik.addBlock('form_19', form_19); |
| 6544 | form_19.addElements( |
| 6545 | …atCounter": |
| 6546 | ); |
| 6547 | |
| 6548 | |
| 6549 | form_ |
| 6550 | form_ |
| 6551 | form_ |
| 6552 | form_ |
| 6553 | form_ |
| 6554 | form_ |
| 6555 | form_ |
| 6556 | form_ |
Conocer esa ruta no abre ninguna puerta. Tampoco es asunto del visitante. Es el plano de la trastienda, y va en la misma página en la que un menor adjuntaba la foto de su documento de identidad. Aparece cinco veces, una por cada campo de subida del formulario. En una de las cinco, la ruta lleva dos barras seguidas donde debería llevar una, la señal de un trozo de texto pegado a otro sin mirar.
- Copia
- archivo
- Guardado
- 10 sep 2026
- Peso
- 415,0 kB
- sha256
- acdf761666e6…
- Tapado
- 4 tramos ▒
| 6534 | }); |
| 6535 | }); |
| 6536 | requirejs([' |
| 6537 | |
| 6538 | }); |
| 6539 | |
| 6540 | |
| 6541 | requirejs([' |
| 6542 | var form_19 = new FbForm(19, {"admin": |
| 6543 | Fabrik.addBlock('form_19', form_19); |
| 6544 | form_19.addElements( |
| 6545 | …ality": |
| 6546 | ); |
| 6547 | |
| 6548 | |
| 6549 | form_ |
| 6550 | form_ |
| 6551 | form_ |
| 6552 | form_ |
| 6553 | form_ |
| 6554 | form_ |
| 6555 | form_ |
| 6556 | form_ |
Debajo de la ruta viene lo que el formulario usa para subir el fichero. Primero, lo razonable: los dos modos modernos, html5 y html4. Después, dos respaldos para navegadores que ya no existen. El primero es Flash, que Adobe apagó el 31 de diciembre de 2020 y que los navegadores dejaron de ejecutar en enero de 2021. El segundo es Silverlight, el competidor de Flash que Microsoft descontinuó en octubre de 2021.
- Copia
- archivo
- Guardado
- 10 sep 2026
- Peso
- 415,0 kB
- sha256
- acdf761666e6…
| 6534 | }); |
| 6535 | }); |
| 6536 | requirejs([' |
| 6537 | |
| 6538 | }); |
| 6539 | |
| 6540 | |
| 6541 | requirejs([' |
| 6542 | var form_19 = new FbForm(19, {"admin": |
| 6543 | Fabrik.addBlock('form_19', form_19); |
| 6544 | form_19.addElements( |
| 6545 | …element\/ |
| 6546 | ); |
| 6547 | |
| 6548 | |
| 6549 | form_ |
| 6550 | form_ |
| 6551 | form_ |
| 6552 | form_ |
| 6553 | form_ |
| 6554 | form_ |
| 6555 | form_ |
| 6556 | form_ |
Hay un detalle que se nota al leerlos seguidos. La línea que indica dónde está el componente de Silverlight apunta a un fichero cuyo nombre acaba en punto swf, que es la extensión de Flash. Una de las dos etiquetas está mal puesta, y da igual cuál: las dos tecnologías llevan años sin ejecutarse en ningún navegador actual. Son dos redes de seguridad tendidas debajo de un suelo que ya no existe, y una de las dos no sabe cuál de ellas es.
De quién es cada cosa. El componente que monta estos formularios no lo escribió el ayuntamiento; es una extensión conocida, de las que se instalan sobre un gestor de contenidos. Del ayuntamiento es la configuración: qué campos pide, cómo se llaman, qué carpeta se escribe en dir y qué respaldos se dejan activados. Eso se decide en un panel de administración, no se hereda. Alguien eligió pedir el DNI escaneado, alguien escribió esa carpeta y alguien dejó encendidos dos respaldos que llevaban años sin servir para nada. Así siguen.
Esta pieza se escribe sobre la página que el ayuntamiento servía el 10 de septiembre de 2026, que es la que guardamos. El 15, cuando volvimos a pedirla para comprobarla, no contestó. A las 11:19 el servidor devolvía un error 500 con la pantalla de avería de Joomla, en inglés y sobre fondo rojo, con un botón que ofrece ayuda para resolverlo; lo mismo contestaba la portada.
A las 17:10 del mismo día la página devolvía un aviso de mantenimiento con una casilla para identificarse, y la portada un 503, el código con el que un servidor dice que vuelva más tarde. Una caída se arregla y no es lo que expone este museo. Queda anotada porque la comprobación en vivo forma parte del método. Seis horas para pasar de una avería a una avería declarada.

La página lleva además un programa con el plazo escrito: del 1 de agosto al 10 de octubre de 2025. Fuera de esas fechas esconde el formulario y, un segundo después, lo avisa en una ventana que empieza «MARBELLA CREA: El plazo de inscripción es desde el» y sigue con las dos fechas. Desde octubre de 2025 nadie ve la casilla del DNI, pero la página la sigue mandando entera a todo el que entra, con su carpeta del disco. El 23 de septiembre de 2026 volvía a contestar: el formulario seguía escondido, la ventana salía al abrirla y la ruta, dos barras incluidas, seguía en su sitio.
- Copia
- archivo
- Guardado
- 10 sep 2026
- Peso
- 415,0 kB
- sha256
- acdf761666e6…
| 3781 | <p>Cumplimenta este formulario para inscribirte a esta muestra. No olvides leer las bases y adjuntar todos los archivos necesarios para poder participar.</p><form method="post" class="fabrikForm" name="form_19" id="form_19" enctype=" |
| 3782 | <script> |
| 3783 | function muestraAlertaFueraPlazos() { |
| 3784 | const fechaInicio = new Date('2025-08-01 00:00:00'); |
| 3785 | const fechaFin = new Date('2025-10-10 00:00:00'); |
| 3786 | const hoy = new Date(); |
| 3787 | const enPlazo = hoy >= fechaInicio && hoy <= fechaFin; |
| 3788 | if (!enPlazo) { |
| 3789 | var formulario = document. |
| 3790 | var enlace = document. |
| 3791 | if (formulario) formulario.style.display = 'none'; |
| 3792 | if (enlace) enlace.style.display = 'none'; |
| 3793 | setTimeout(function() { |
| 3794 | alert('MARBELLA CREA: El plazo de inscripción es desde el '+fechaInicio. |
| 3795 | }, 1000); |
| 3796 | } |
| 3797 | } |
| 3798 | document. |
| 3799 | </script> |
| 3800 | <div class="fabrikMainError alert alert-danger alert-dismissible fabrikError fabrikHide"> |
| 3801 | <button class="btn-close" data-bs-dismiss="alert" aria-label=" |
| 3802 | </div> |
Un formulario escondido desde octubre de 2025 sigue contando en qué carpeta del disco dejaría el DNI escaneado de un menor. Por si acaso, ofrece subirlo con Flash.
- La página de la convocatoria «Marbella Crea» que www.marbella.es servía el 10 de septiembre de 2026 incluye una casilla llamada «Documento DNI escaneado» y, en la configuración que envía al navegador, la ruta del disco del servidor donde se guardan los ficheros subidos: C:\inetpub\wwwroot\▒ (lo que sigue lo tapamos), cinco veces, una de ellas con dos barras seguidas.
- La misma configuración declara como respaldo de subida Flash y Silverlight, y la línea de Silverlight apunta a un fichero .swf, que es de Flash.
- El 15 de septiembre de 2026, a las 11:19, esa página y la portada del ayuntamiento devolvían un error 500; a las 17:10 la página devolvía un aviso de mantenimiento y la portada un 503.
- La página esconde el formulario fuera del plazo que lleva escrito, del 1 de agosto al 10 de octubre de 2025, y lo avisa en una ventana; la configuración se sirve igual.
- El 23 de septiembre de 2026 la página volvía a contestar, con el formulario escondido y la misma ruta.
- No decimos que nadie pueda acceder a esa carpeta ni a los documentos guardados: conocer una ruta no abre una puerta, y no hemos probado nada contra ese servidor.
- No hemos rellenado ni enviado el formulario, ni subido ningún fichero.
- No decimos que el error 500 del 15 de septiembre sea permanente ni que tenga que ver con lo que cuenta esta pieza: una web se cae y se levanta.
- Y no decimos que el componente de formularios sea del ayuntamiento: es una extensión de terceros; suya es la configuración.
- Tampoco decimos cómo era la página durante el plazo de 2025: la guardamos en septiembre de 2026.
De dónde sale cada cita
Cada trozo de código de esta ficha está en un fichero guardado tal como lo entregó el servidor, con su huella (sha256) y su hora. Las citas entre «» se comprueban por programa contra ese fichero antes de publicar.
- https://www.marbella.es/web/juventud/marbella-crea.html10 de septiembre de 2026, 15:48archivosha256 acdf761666e6006be4c9845509034d2b1f9f682646a158b3f543134598ff3e9f
- https://www.marbella.es/web/juventud/marbella-crea.html15 de septiembre de 2026, 11:15en vivo · distinto · falta la cita nº 1, 2, 3, 4, 5sha256 157996de9819472ff7364bda97d3f2cbfe89a5ac4403586b7df13f72347678a5