Una galleta que no se borraba

Lo primero que llama la atención es que se entiende. Cada línea lleva su comentario en español explicando qué hace y por qué, la variable donde se vuelca el contenido de la cookie se llama galleta, y los comentarios conservan las erratas de quien los escribió con prisa: «si en la cookie estamo ya en nombre del valor», «devuleve el valor». El servidor lo daba por modificado por última vez el 14 de marzo de 2017, y así lo guardamos el 31 de agosto y lo volvimos a pedir el 15 de septiembre, idéntico.

La función que calcula cuándo caduca una galleta recibía un número de días y lo pasaba a milisegundos. Multiplicar por 24, por 60, por 60 y por 1.000 no tiene misterio. Lo tenía la orden que iba delante. Se llama eval y sirve para coger un texto y ejecutarlo como si fuera programa. Aquí se usaba para leer un número de días antes de multiplicarlo por veinticuatro, como quien pide a un intérprete que traduzca un número de teléfono.

Lo comprobamos ejecutando el fichero tal como lo servía el ministerio. Si a esa función se le pedía que caducara en 90 días, contestaba con la fecha de dentro de noventa días, correctamente. Si se le pedía que caducara en “2*15”, un texto y no un número, contestaba con la de dentro de treinta. La multiplicación la hacía el eval, que ejecuta como programa el texto que le llegue, sea una cuenta o cualquier otra orden.

Unas líneas más abajo estaba la función que establece la galleta con su caducidad, y ahí convivían dos comentarios y un número. El comentario de arriba anunciaba noventa días de caducidad. El código pedía noventa días. Y el comentario de la derecha, en la misma línea, decía que la fecha se creaba para treinta y uno. No sabemos cuál de los dos sobrevivió a cuál. Sabemos que el que manda es el número, y que un lector desprevenido tenía una posibilidad entre dos de creerse el equivocado.

Y llegamos al motivo de esta pieza. Para borrar una galleta, el truco de toda la vida es ponerle una fecha de caducidad del pasado: el navegador la tira. El comentario lo explicaba con esas palabras y el código lo hacía llamando a Caduca, con mayúscula, cuando la función que existe se llama caduca, con minúscula. JavaScript, el lenguaje en que está escrito el fichero, distingue mayúsculas. Para él son dos nombres distintos, y el segundo no existía.

Cargamos el fichero en un navegador y pedimos borrar una galleta. La respuesta fue “ReferenceError: Caduca is not defined”, que es la manera que tiene JavaScript de decir que no sabe de quién le hablan. El programa se detiene ahí y la galleta se queda donde estaba, tan tranquila. Buscamos después esa palabra con mayúscula en todo lo que habíamos guardado del ministerio, por si alguien la definía en otro fichero y el asunto quedaba en un susto. No aparecía en ninguna parte.

Lo que salvaba al fichero era lo único que podía salvarlo: nadie llamaba a esa función. El resto sí se usaba, y guardarCookie y caduca se llaman desde otros ficheros del ministerio. En todo lo que guardamos no hay una sola línea que pida borrar una galleta. El error estaba ahí, como poco desde la fecha de marzo de 2017 que daba el servidor, esperando a un programador que un día decidiera usar la función que el fichero le ofrecía. Mientras tanto, Sanidad guardaba y renovaba sin problema.

Queda el detalle de las dos funciones con las que el fichero mete y saca el valor de la galleta, escape y unescape. Son de la primera época de JavaScript y desde 1999 la norma del lenguaje solo las conserva en el anexo de compatibilidad, con la recomendación expresa de no usarlas en código nuevo. Este no era nuevo: el 31 de agosto y el 15 de septiembre el servidor lo entregaba con la misma huella, los mismos finales de línea de Windows y los mismos 2.593 bytes. La versión corregida las sigue usando.

El 16 de septiembre de 2026 el fichero cambió. Lo dice el propio servidor, que desde entonces da esa fecha como la de su última modificación, y lo dicen las copias que volvimos a pedir el 21 y el 23. Donde estaba eval hay ahora Number, que convierte un texto en número sin ejecutarlo. borrarCookie llama a caduca con minúscula, en el código y en el comentario. El comentario de los treinta y un días ya no está, y el de los noventa ha perdido la í de «días» por el camino: dice «caducidad 90 d as». El resto, galleta y erratas incluidas, sigue igual.