Inventario de scripts y su justificación

Cuando una página incluye un script, el navegador lo ejecuta en el contexto de esa página, sin importar de qué dominio vino. La política del mismo origen separa una página de otra, pero no separa los scripts que conviven dentro de la misma página: el de la pasarela, el del chat, el de la medición y el propio comparten el mismo documento, los mismos campos de formulario y la misma capacidad de enviar datos a cualquier servidor. No hay un modo «tercero con menos poder».

Por eso a quien quiere robar datos de tarjeta en el navegador no le hace falta entrar al servidor de la tienda: le basta con cambiar un script que la tienda ya carga, en el servidor del proveedor o en cualquier eslabón entre los dos. PCI DSS v4.0 respondió con el requisito 6.4.3, obligatorio desde el 31 de marzo de 2025: cada script que se ejecuta en el navegador dentro de la página de pago debe estar autorizado, tener una justificación escrita de por qué hace falta y conservar su integridad, y debe existir un inventario de todos ellos.

Un inventario vale lo que valga su última comparación con la realidad. La fuente de verdad no es la plantilla ni el repositorio: es lo que el navegador ejecuta cuando carga la página, porque ahí aparecen también los scripts que otro script trae al ejecutarse. Esos son los que más se escapan: nadie los escribió en la plantilla y nadie los pidió, llegaron con un proveedor.

Abre el laboratorio y lee politica-scripts-pago.txt, inventario-scripts-pago.csv y carga-pagina-pago.txt en la carpeta anacona-inventario. Compara nombre por nombre lo que se ejecutó con lo que está autorizado, y fíjate en la columna que dice quién cargó cada script.

La comparación se hace en los dos sentidos. Un script autorizado que ya no se carga no es un riesgo inmediato, pero sí una señal: el inventario no se mantiene, y una autorización vieja puede servir para reintroducir un script que nadie volvió a revisar. Las filas muertas se retiran con fecha, igual que las nuevas se añaden con fecha.

La justificación escrita es la parte del requisito que más se rellena por cumplir. Una justificación sirve si responde a la pregunta concreta: por qué este script tiene que correr en la página donde se escribe la tarjeta. Si la respuesta valdría igual para cualquier página del sitio, no responde esa pregunta; si está vacía o habla de algo que ya terminó, tampoco.

Aplica la regla 2 de la política de Anacona a cada fila del inventario.

Mercadeo defiende medicion-visitas.js en el pago: quiere ver cuántas personas abandonan en ese paso. La necesidad es real, pero la justificación inscrita no la nombra, y el script tiene acceso a todo el formulario de tarjeta.