Cabeceras y agentes de usuario

Una petición HTTP lleva, además del método y la ruta, un bloque de cabeceras. Las que más usa un analista son Host (el sitio al que se dirige la petición), User-Agent (el programa que dice ser el cliente), Referer (desde qué página llegó el clic) y las de tipo de contenido. El estándar describe el agente de usuario como el programa que origina la petición, y lo define de forma amplia: navegadores, herramientas de línea de comandos, firmware de aparatos, aplicaciones móviles.

Lo importante es de quién es la voz. Todas esas cabeceras las escribe el cliente, y el cliente puede poner lo que quiera. Un registro con «navegador» en el agente demuestra que el cliente dijo ser un navegador, no que lo sea. Por eso el agente sirve para encontrar lo que sobra o falta frente a lo esperado, no para absolver nada.

Un inventario de agentes de usuario es una lista corta: el navegador de las oficinas, el actualizador del sistema, el programa de cada aparato conocido. Con ella la búsqueda se vuelve una resta: de todos los agentes que ve el sensor, quita los que el inventario explica, y lo que queda es lo que hay que preguntar a alguien.

Abre el registro de HTTP de Litografía Calicanto en el laboratorio y compáralo con la tabla de agentes aprobados. Ese resto no es un culpable: puede ser una herramienta de un técnico que nadie anotó. Pero sin explicación escrita es lo primero que se mira.

Una petición suelta casi nunca dice nada; la que se repite, sí. Para describir bien un hallazgo hay que contar: cuántas peticiones, con qué ritmo, a qué sitio y con qué volumen. En un registro con pocas filas se cuenta a mano; en uno grande se agrupa por origen, agente y host y se mira la cuenta.

Filtra mentalmente el registro por el agente que acabas de aislar y cuenta todas sus peticiones, sea cual sea el método.

La cabecera Host dice a qué sitio se dirigía la petición, aunque varias páginas compartan una misma dirección. En el HTTP en claro, ese nombre y la ruta son lo que más se parece a una dirección postal. Un host que nadie del negocio reconoce, pedido siempre por el mismo equipo con una herramienta sin inventariar, es un candidato a pregunta, con una nota: no hay un solo dato aquí que pruebe intención.

Una cosa más que se ve en esas filas: dos de las peticiones pesan casi nada de respuesta, y una lleva más bytes de ida que de vuelta. Ese contraste también se anota.