Ciberseguridad
Cómo el sitio se protege a sí mismo, y a ti
Un sitio que enseña a las personas a gestionar sus propios sistemas debe dar ejemplo. Esta página muestra cómo está protegido breaktherule.org: el flujo, la lógica y el diseño, en palabras sencillas.
El flujo
Tres ciclos funcionan a la vez: uno en cada visita, uno cada día, uno en cada cambio.
La lógica
- Por capas. Ninguna protección es perfecta por sí sola, así que hay varias, una detrás de otra, como las murallas, la puerta y la caja fuerte de un castillo.
- En caso de duda, no. Cuando una comprobación no puede ejecutarse, o no puede responder, la respuesta es no. Un mensaje se rechaza en lugar de aceptarse por confianza, y una comprobación diaria que no se ejecutó cuenta como un hallazgo.
- Los mínimos datos. Lo que nunca se recoge no puede filtrarse: ninguna cuenta, ninguna cookie, y ningún nombre, correo o dirección IP guardado con un mensaje.
- Los secretos fuera del código. El código está escrito como si todo el mundo pudiera leerlo, porque un día así será. El único secreto vive en Cloudflare, y las comprobaciones diarias buscan secretos y archivos prohibidos en toda la historia del código.
- Las máquinas miran cada día, las personas deciden. Cuatro comprobaciones automáticas buscan nuevas debilidades cada mañana y escriben un informe, también cuando no ha pasado nada. Una persona lo lee y decide.
- Nada se publica sin un visto bueno. Cada cambio se revisa y se documenta antes de publicarse. La única excepción es una corrección de seguridad en una dependencia, publicada por sí sola solo cuando es pequeña y todas las comprobaciones están en verde.
El diseño
Todo es gratuito y de código abierto: el plan gratuito de Cloudflare, las herramientas gratuitas de GitHub y escáneres que cualquiera puede descargar. Nada llama a una IA y nada necesita un servicio de pago, así que cualquiera que gestione un sitio pequeño puede copiar las mismas protecciones.
Todo está por escrito. La documentación del proyecto describe cada protección, su estado y cómo comprobarla desde cualquier ordenador, para que un cambio que nadie esperaba salte a la vista.
Todo sigue los cuatro pasos del propio sitio: aceptar el proceso, entenderlo, encontrar la parte que no funciona, romper la regla y mejorarla. El informe diario existe para encontrar esa parte antes de que lo haga otra persona.
¿Has encontrado un problema de seguridad?
Escribe a 59495@proton.me, describiendo el problema y cómo reproducirlo. La misma dirección está en security.txt, el archivo estándar donde un sitio dice a quién avisar.