Validación de contraseña en el navegador
JavaScript que, mientras escribes la contraseña, la puntúa en el navegador —mayúsculas, símbolos, secuencias, caracteres repetidos— y muestra una barra de fortaleza. Muchas veces ese número calculado viaja después al servidor dentro de un campo oculto del formulario.
La barra de colores que se llena mientras uno escribe una contraseña. La cuenta la hace el navegador, en el propio ordenador del visitante, y en varios montajes la nota resultante viaja después al servidor dentro de un campo oculto del formulario. Una nota que calcula el cliente y firma el cliente puede llegar con el valor que el cliente quiera: sirve de consejo, no de control.
- 2003empieza a ser lo normal
- hacia 2015deja de serlo
- hoy11 años después, 4 dominios del archivo la servían
Por qué entonces
Dar respuesta inmediata al usuario mientras teclea era, y sigue siendo, buena experiencia de uso: la barra que sube anima a poner una contraseña mejor. El problema es que en su día se confundieron dos cosas distintas —'validar la contraseña' y 'validar en el navegador'— cuando el modelo de amenazas todavía no estaba tan asentado. Y existía un atajo: hacia 2007 circulaba un medidor de contraseñas en JavaScript (The Password Meter) que casi todo el mundo copiaba y pegaba. Poner esas líneas era cuestión de minutos y parecía que reforzaba la seguridad.
Qué pasó
La seguridad web maduró alrededor de un principio que hoy es de manual: nunca te fíes del cliente. Todo lo que ocurre en el navegador —cada cálculo, cada validación, cada campo— está bajo el control de quien tiene el navegador delante, y puede cambiarse. La validación de seguridad tiene que hacerse, sí o sí, en el servidor. Esto pasó a ser una de las primeras lecciones de cualquier formación en seguridad.
Por qué está mal hoy
Hay dos casos y ninguno sale bien. Si el servidor vuelve a comprobar la contraseña, las cientos de líneas que corren en el navegador son comodidad visual, no una comprobación. Y si se fía del número que le llega, no protege nada: ese número lo controla quien tiene el navegador delante. Además, al ser un copia y pega de 2007, arrastra ideas sobre contraseñas —penalizar secuencias, exigir símbolos— que las guías actuales desaconsejan en favor de premiar sobre todo la longitud.
En lo público
Aquí es la puerta de contraseña de una plataforma por la que las empresas acceden para licitar en contratos públicos. Lo inquietante no son las líneas de JavaScript en sí: es lo que revelan sobre cómo se pensó la seguridad del sistema. Un cálculo de seguridad hecho en el navegador dice que, en algún momento, se dio por bueno confiar en el lado que no se debe.
El arreglo
La regla es simple: validar siempre en el servidor. La comprobación del navegador se queda solo como ayuda visual, y nada relevante para la seguridad debería viajar jamás en un campo que el cliente puede editar. De paso, conviene revisar la política de contraseñas contra las guías actuales: longitud por encima de reglas de composición.
§ 1Lo que el archivo cuenta
- dominios donde la portada, las cabeceras o el certificado la delatan3de 1.454 dominios que sirven páginas · captura del 23 al 26 de septiembre de 2026
§ 2Dónde aparece
Son 4 dominios: 0 con una señal de sede o de trámite en el nombre y 4 sin ninguna. Con tan pocos, el porcentaje no dice nada y por eso no se escribe; lo que sí se escribe son las dos cifras enteras y el reparto por cuerpo administrativo, que va debajo. La señal está en el nombre del dominio, no en lo que la página tiene dentro: que un nombre no diga «sede» no prueba que ese sitio solo informe.
- lleva «sede» en el nombre del dominio0
- el nombre del dominio nombra un trámite0
- organismo de alto tránsito0
- el nombre no dice ni sede ni trámite4
Cuerpo administrativo, con la regla de familias del museo: Comunidades autónomas 1 · Ayuntamientos 2 · Sin clasificar 1.
Cómo se prueba de quién es cada uno, con la regla de procedencia del museo: titularidad probada 4. «Titularidad probada» quiere decir dominio .gob.es —que solo se asigna a órganos del Estado— o certificado de una autoridad de certificación que exige acreditar la condición de organismo. Los 309 dominios leídos a fondo están todos dentro del perímetro del atlas. Lo defendible es que esto se sirve bajo un dominio de la Administración, que es lo que ese certificado acredita.
§ 3Qué dominios la servían
De los 309 dominios leídos a fondo, 4 tienen en su ficha al menos una cita comprobada de esta tecnología, tomada de lo que sirvieron entre el 23 y el 26 de septiembre de 2026. Cada nombre lleva a esa cita.
Base: 309 dominios leídos a fondo de los 2.172 del archivo · medido el 28 de septiembre de 2026. Es una regla propia —la señal comprobada de la ficha de cada dominio— y por eso puede dar una cifra distinta de las de arriba, que cuentan otra cosa sobre otra base: ninguna de estas cifras se suma con otra. Los otros 1.863 dominios no se han leído entero, así que de ellos no consta ni que sí ni que no. La lista va por orden alfabético; no es una clasificación ni un orden de mérito.
§ 4La distancia
- desde que dejó de ser la opción normal, hacia 201511 añosel corpus del museo cierra su época hacia 2015; la captura es de 2026
La distancia es lo único que esta sala calcula sola: los años entre el final de la época que le da el corpus del museo y la fecha en que la captura la encontró sirviendo. Ninguno de los dos extremos se ha inventado aquí, y cada renglón dice de dónde sale. Lo que no se escribe es desde cuándo existe la forma de hoy de hacer lo mismo: esa fecha necesitaría una fuente que el museo no guarda, y una fecha que no se puede citar no se publica, por evidente que parezca a quien ya lo sepa.
§ 5En las piezas
Una ficha de tecnología explica el cacharro; una pieza cuenta un caso concreto, con su dominio y su cita. Una pieza trata de esta tecnología cuando su propio texto la nombra y la explica: la frase que lo justifica va debajo del enlace y está comprobada contra la ficha de esa pieza, de modo que si alguien la reescribe y la frase cambia, el enlace se retira. No se enlaza por parecido ni por cercanía de tema, porque eso sería contar de qué va una pieza sin haberla leído.
La pieza que trata de esta tecnología
Esta ficha explica la tecnología; los casos concretos, con su cita y su procedencia, viven en las piezas.