época 2007 – hoy
Lenguajes y marcos · 2007 – hoy

Apache Struts 2 (rutas .action)

Apache Struts 2, sucesor que en realidad venía de otro proyecto (WebWork). Sus URL terminan en .action.

Dicho sin tecnicismos

El sucesor del anterior, y este sí se sigue manteniendo. La diferencia está en la versión instalada: una que se haya quedado atrás lleva años de arreglos publicados que no tiene, y todos ellos están descritos en abierto, con su número y su fecha. Aquí el museo no mira dentro: solo consta que las direcciones acaban en .action.

En el tiempoeje común de 1990 a 2026, el mismo en las 36 fichas
La época es la del corpus del museo —⁠cuándo fue la opción normal⁠—, no una medida del archivo; lo medido es el número de dominios. El eje es el mismo en las 36 fichas de la sala: de 1990 a hoy.

Por qué entonces

Struts 2 arregló buena parte de lo que hacía pesado a Struts 1: menos XML, acciones que son objetos normales, integración con Spring. Para quien ya tenía la casa montada en Struts, era la continuación natural.

Qué pasó

Struts 2 no está muerto —⁠se sigue manteniendo⁠—, pero acumula una lista larga de avisos publicados de ejecución remota de código relacionados con OGNL, el lenguaje de expresiones que lleva dentro. Cada uno tiene su número, su fecha y su versión de arreglo, todo en abierto. El más conocido es el que se aprovechó en la brecha de Equifax en 2017, con un parche publicado meses antes.

Por qué está mal hoy

El problema no es Struts 2: es la versión instalada. Una instalación pública que se tocó por última vez hace años lleva encima varios años de arreglos publicados que no tiene, y la lista de lo que falta es pública. Este museo no mira dentro: lo que consta aquí es que las direcciones acaban en .action.

En lo público

Es el caso donde el mantenimiento importa más que la elección de tecnología. Un contrato de desarrollo sin contrato de mantenimiento deja exactamente esto.

El arreglo

Verificar versión exacta contra el listado de avisos de seguridad de Apache Struts y actualizar. Es de los pocos casos donde el arreglo puede ser subir una versión, no reescribir.

§ 1Lo que el archivo cuenta

  • dominios donde la portada, las cabeceras o el certificado la delatan16de 1.454 dominios que sirven páginas · captura del 23 al 26 de septiembre de 2026

§ 2Dónde aparece

Son 7 dominios: 3 con una señal de sede o de trámite en el nombre y 4 sin ninguna. Con tan pocos, el porcentaje no dice nada y por eso no se escribe; lo que sí se escribe son las dos cifras enteras y el reparto por cuerpo administrativo, que va debajo. La señal está en el nombre del dominio, no en lo que la página tiene dentro: que un nombre no diga «sede» no prueba que ese sitio solo informe.

  • lleva «sede» en el nombre del dominio3
  • el nombre del dominio nombra un trámite0
  • organismo de alto tránsito0
  • el nombre no dice ni sede ni trámite4

Cuerpo administrativo, con la regla de familias del museo: Órganos constitucionales y de control 1 · Administración General del Estado 3 · Comunidades autónomas 2 · Diputaciones y cabildos 1.

Cómo se prueba de quién es cada uno, con la regla de procedencia del museo: titularidad probada 6 · sede electrónica declarada 1. «Titularidad probada» quiere decir dominio .gob.es —⁠que solo se asigna a órganos del Estado⁠— o certificado de una autoridad de certificación que exige acreditar la condición de organismo. Los 309 dominios leídos a fondo están todos dentro del perímetro del atlas. Lo defendible es que esto se sirve bajo un dominio de la Administración, que es lo que ese certificado acredita.

§ 3Qué dominios la servían

De los 309 dominios leídos a fondo, 7 tienen en su ficha al menos una cita comprobada de esta tecnología, tomada de lo que sirvieron entre el 23 y el 26 de septiembre de 2026. Cada nombre lleva a esa cita.

Base: 309 dominios leídos a fondo de los 2.172 del archivo · medido el 28 de septiembre de 2026. Es una regla propia —⁠la señal comprobada de la ficha de cada dominio⁠— y por eso puede dar una cifra distinta de las de arriba, que cuentan otra cosa sobre otra base: ninguna de estas cifras se suma con otra. Los otros 1.863 dominios no se han leído entero, así que de ellos no consta ni que sí ni que no. La lista va por orden alfabético; no es una clasificación ni un orden de mérito.

§ 4En las piezas

Una ficha de tecnología explica el cacharro; una pieza cuenta un caso concreto, con su dominio y su cita. Aquí no hay ninguna pieza escrita sobre esta tecnología: la lista de las que sí lo están se hace a mano, leyéndolas, y cada pareja lleva la frase de la pieza que la justifica. Lo que sí hay son piezas que salen de un dominio que la servía cuando se capturó el archivo. Eso es un cruce medido entre las dos salas y nada más, y se escribe con estas palabras para que no se lea como otra cosa.

Piezas que salen de un dominio que la servía

Estas 6 piezas salen de un dominio que servía esta tecnología cuando se capturó el archivo. No tratan de ella: es un cruce medido entre las dos salas, y se dice así para que no se lea como otra cosa.

Esta ficha explica la tecnología; los casos concretos, con su cita y su procedencia, viven en las piezas.

Desgobierno Digital · https://desgobiernodigital.com/tecnologias/struts2/ · copia impresa de la edición generada el 19 de octubre de 2026 · Un proyecto de BQuant · correcciones: @Gsnchez