Usted es 172.26.▒▒▒.▒▒▒

Cada página de un portal Liferay lleva, entre sus primeras líneas de JavaScript, el lenguaje de los programas que corren en el navegador, una ficha que el servidor, el ordenador que sirve la página, escribe sobre la visita: Liferay.ThemeDisplay, 48 funciones en la portada de la sede, de la línea 356 a la 520. Dicen la dirección pública del portal, el número de la página, el idioma, el huso horario (Europe/Paris, que es el de aquí con otro nombre), si el visitante se ha identificado (no) y con qué número se le conoce mientras tanto. Los programas de la propia página consultan esa ficha: el idioma lo leen de ahí.

Dos de esas 48 funciones se llaman getRemoteAddr y getRemoteHost: la dirección y el nombre del extremo remoto, es decir, del visitante, tal como los ve el servidor. En la portada guardada el 8 de septiembre de 2026 las dos devuelven lo mismo, 172.26.▒▒▒.▒▒▒ (los dos últimos números los tapamos nosotros). Nuestro capturador, el programa con el que guardamos las páginas, llegó desde una dirección pública, que no es esa.

No podía serlo. En febrero de 1996 el RFC 1918, una de las normas técnicas de internet, reservó tres bloques de direcciones para redes privadas: 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. Son las direcciones de la oficina, del router de casa, del pasillo entre servidores: ningún router de internet las encamina, y por eso las puede usar todo el mundo a la vez sin estorbarse. 172.26 cae dentro del segundo bloque. Nadie que llegue desde fuera puede tener esa dirección, así que nadie que llegue desde fuera puede ser el visitante al que el portal se la atribuye.

Tampoco es cosa de un día. El archivo guarda 1.004 ficheros del dominio con esa función (929 páginas y 75 bloques de JavaScript), 53 capturados el 31 de agosto de 2026 y 951 el 8 de septiembre, y el valor es el mismo en los 1.004. El 14 de septiembre volvimos a pedir la portada: 129 de sus 6.066 líneas eran distintas, entre ellas las marcas de versión de sus programas y la ficha del navegador, pero las líneas 454 a 458 seguían iguales, con la misma dirección. El 23 de septiembre, otra vez la misma. Cuatro fechas, un visitante.

Tampoco es un caso raro. En el archivo hay 62 portadas de dominios de la Administración que declaran esa misma función. En 17 devuelve la dirección desde la que capturamos: ahí funciona. En 34 devuelve una dirección privada, como aquí. En 4 devuelve 127.0.0.1, la dirección de la propia máquina, con lo que el servidor sostiene que el visitante es él. En 5, otra dirección pública que no es la nuestra. En 2, nada. Damos la cuenta y no los nombres: el museo ordena piezas, no organismos, y la pieza es la misma en 34 sitios.

Lo que se puede explicar sin adivinar: getRemoteAddr devuelve la dirección del otro extremo de la conexión que llegó al servidor. Aquí, delante del portal, hay un intermediario, una máquina que recibe las visitas y se las pasa: las respuestas del 8, del 14 y del 23 de septiembre vienen firmadas por nginx y traen la marca de una caché intermedia, un almacén de copias de las páginas. Así, el otro extremo de la conexión es el intermediario, no el visitante. El servidor cuenta lo único que ve.

Para que sepa la dirección real, el intermediario tiene que pasársela en una cabecera, una línea de datos que acompaña a cada petición (X-Forwarded-For es la habitual), y al servidor hay que decirle que se la crea. Una de las dos cosas no pasa; cuál, la página no lo dice. En dos portales más del archivo el valor no es uno sino dos direcciones vecinas, repartidas entre sus páginas. Dos máquinas intermedias lo explicarían, pero eso ya no se ve desde fuera.

El portal sí escucha al navegador. Antes de la ficha del visitante, en la misma página, va Liferay.Browser, otra ficha, esta sobre el programa con el que se llega, y está bien hecha: la copia del 8 de septiembre dice getMajorVersion 125.0 e isLinux true, que es lo que declara nuestro capturador, un Chrome 125 sobre Linux. La copia del 14, pedida declarando un Chrome 128 de Windows, dice 128.0 e isWindows true. El portal lee la cabecera en la que el navegador cuenta quién es y la transcribe con precisión. La dirección de la que viene, en cambio, no la oye.

Consecuencias, las que se ven. En los 2.754 ficheros capturados del dominio nadie llama a getRemoteAddr(): los programas de la sede no usan ese valor, así que ninguna función de la página se equivoca por él. Lo que el portal hace con esa dirección puertas adentro, registros o auditoría, no se ve desde fuera. Se ven dos cosas. Cada página publica, a quien lea su código, una dirección de una red interna. Y a nosotros, cada vez que hemos entrado, nos ha escrito en nuestra propia página que éramos otro.