Pedir y responder — la gramática de la web

Cada vez que abres una página pasa lo mismo: tu navegador pide algo y el servidor responde. Nada más. Toda la web está construida sobre ese intercambio, repetido millones de veces por segundo.

La petición dice tres cosas: qué quieres hacer, sobre qué, y quién eres (si es que lo dices).

• Qué hacer es el método. GET es «dame esto» y POST es «toma esto». Casi todo lo que haces navegando es un GET; enviar un formulario suele ser un POST.
• Sobre qué es la ruta. /agenda-interna es una ruta.
• Quién eres es opcional, y ahí estuvo el problema de la clínica: nadie lo exigía.

La respuesta empieza siempre por un número de tres cifras que resume qué pasó. Ya los conoces sin saberlo:

El 403 es el que faltaba en esta historia. Un servidor bien configurado habría contestado 403 en /agenda-interna: la página existe, pero tú no eres nadie para verla. Contestó 200.

Hay una cosa rara en esta conversación: el servidor no se acuerda de ti. Cada petición llega como si fuera la primera. Es el diseño original de la web y no cambió nunca.

Entonces, ¿cómo sabe una tienda que tú eres el que puso cosas en el carrito hace cinco minutos? Porque en la primera respuesta te dio un papelito con un número —una cookie— y tu navegador lo enseña en cada petición siguiente. El servidor no te recuerda: tú le recuerdas quién eres cada vez.

De ahí salen dos ideas que sostienen media seguridad web:

Quien roba ese papelito, es tú. No necesita tu contraseña. Si consigue tu cookie de sesión, la enseña y el servidor le cree, porque el servidor no sabe distinguir.

Cada petición se comprueba sola. Como el servidor no se acuerda, tiene que preguntarse en cada petición si quien llega tiene derecho. Si lo comprueba al entrar y luego ya no, cualquiera que salte la entrada queda dentro para siempre.

Eso es, exactamente, lo que pasó en la clínica: nadie preguntó nada en /agenda-interna porque se dio por hecho que quien llegara ya habría pasado por otro sitio.

Ya tienes el vocabulario para nombrar lo que pasó, y para ver que podría haber sido peor de otras dos maneras. En seguridad se resumen en tres palabras, y se aplican a cualquier sistema:

Confidencialidad — que lo privado siga siendo privado. Es lo que se rompió en la clínica: la agenda del día salió sin permiso. Nadie cambió nada, nadie apagó nada; simplemente alguien vio lo que no debía.

Integridad — que los datos sean los que deben ser. Imagina que en vez de mirar la agenda, el atacante hubiera cambiado una cita: mover a un paciente de hora, borrar una cirugía. Nadie se entera hasta que alguien no aparece. Suele ser peor que la filtración, porque la filtración se nota y la manipulación no.

Disponibilidad — que el sistema esté cuando hace falta. Si la agenda no abre un lunes a las 8 de la mañana, la clínica no atiende. No hizo falta robar nada.

Las tres juntas son lo que se protege. Y fíjate en algo: el mismo fallo puede afectar a una, a dos o a las tres. El de la clínica rompió la confidencialidad. Si esa pantalla además permitiera editar, rompería también la integridad — y sería mucho más grave sin que la vulnerabilidad cambiara en nada.