Gestores de etiquetas como puerta trasera

Un gestor de etiquetas es un script que la página carga una sola vez y que, al ejecutarse, trae y ejecuta otros según una configuración que vive en el panel del proveedor. Cada publicación de esa configuración cambia el código que corre en el navegador de los clientes, igual que un despliegue, pero sin solicitud de cambio, sin revisión de código y sin dejar rastro en el repositorio de la aplicación.

Las etiquetas de plantilla del gestor tienen un comportamiento acotado. Las de HTML personalizado no: aceptan cualquier código, que se ejecuta con todos los permisos de la página donde se activa. Para quien revisa la seguridad de una página de pago, el gestor es parte de la superficie, y sus cuentas con permiso de publicar son cuentas con permiso de desplegar.

El historial de publicaciones del contenedor es el registro de despliegues de ese canal. Cada versión dice quién la publicó, qué declaró que cambiaba y si pasó por seguridad. Lo declarado y lo que de verdad cambió no siempre coinciden, por eso se cruza con la lista de etiquetas activas y su versión de origen.

Abre el laboratorio y lee encargo.txt, contenedor-versiones.txt, etiquetas-activas.txt y etiqueta-E05.txt en la carpeta anacona-etiquetas.

Las cuentas de un gestor se gestionan como las de cualquier sistema de producción: mínimo privilegio, segundo factor y baja cuando termina la relación. Una agencia externa con permiso de publicar es un tercero con acceso de despliegue a la página de pago; si su contrato terminó y la cuenta sigue viva, nadie responde por lo que publique.

Cruza la versión de la tarea anterior con accesos-gestor.txt.

Un activador «todas las páginas» incluye la de pago, aunque la etiqueta se haya pensado para otra cosa. Para saber qué ejecuta el gestor en el pago hay que leer el activador de cada etiqueta contra las rutas reales de la tienda que vienen en el encargo, sin suponer.

El equipo de respuesta ya retiró la etiqueta E05 y revisa a dónde fueron los datos. Queda la causa: un canal de despliegue sin controles que alcanza la página de pago.