Integridad de recursos del navegador

Con SRI, la etiqueta que carga un script o una hoja de estilos lleva un atributo integrity con una huella (un hash) del archivo que se revisó. El navegador descarga el recurso, calcula su huella y, si no coincide, no lo ejecuta. Así, si el servidor del proveedor o su red de distribución es comprometido y cambia el archivo, el cambio no llega al cliente.

Tiene límites. No dice que el archivo sea seguro: dice que es el mismo que revisaste. No sirve si lo que quieres es que el script cambie con el tiempo. Y para un recurso de otro origen, la etiqueta también necesita el atributo crossorigin y el servidor debe permitir la lectura entre orígenes; si no, el navegador no puede comprobar nada y lo rechaza.

El fragmento de HTML de la página de pago mezcla recursos propios, de terceros con huella y de terceros sin ella. Los propios no necesitan SRI (los sirve la misma tienda); los de terceros sí lo piden. Un recurso con atributo integrity pero sin crossorigin es otra cosa: sí tiene huella, solo que no funcionará, y lo verás en la tarea siguiente.

Abre el fragmento de la página de pago y busca el script de otro origen que se carga sin ningún atributo de integridad.

Una huella mal gestionada falla en silencio para el cliente: la página parece normal y el pago no funciona. La consola del navegador sí lo cuenta. Los mensajes de este laboratorio están simplificados, pero distinguen dos causas: la huella no coincide con el archivo recibido, o el recurso de otro origen no se puede leer.

Abre la consola del navegador de pruebas y busca el recurso bloqueado porque su huella ya no coincide.

Un script protegido en una página puede estar sin proteger en otra. La cobertura se mide sobre todas las páginas, y los recursos propios quedan fuera de la cuenta porque no los pide el control.

Abre la tabla de páginas y recursos. Cuenta los recursos de origen tercero cuya columna de integridad dice «no», en todas las páginas.

El aviso del proveedor de pagos explica el bloqueo: su ruta general se actualiza sin cambiar de nombre, de modo que la huella revisada deja de valer en cuanto sale una versión. Ofrece también rutas con la versión en el nombre, cuyo contenido no cambia. Las tentaciones habituales son quitar la huella para que «funcione» o fijarla a la ruta móvil y esperar suerte.