Enlaces, imágenes y contenido activo en respuestas

Un enlace necesita que alguien lo pulse. Una imagen no: en cuanto la respuesta se pinta, el navegador pide la dirección de la imagen para mostrarla. Si esa dirección la escribió el modelo, y el modelo pudo ser empujado por un documento a componerla, la dirección puede llevar dentro datos de la conversación (un número de póliza, un nombre) en sus parámetros. El servidor que recibe la petición se queda con esos datos aunque la imagen ni siquiera exista. Nadie pulsó nada y nadie vio nada raro.

Con los enlaces, el riesgo es el engaño: el texto visible dice una cosa y el destino es otra. Un modelo que lee correos y documentos de terceros puede terminar repitiendo un enlace de pago falso con un texto que nombra el dominio legítimo. Las dos cosas se controlan fuera del modelo: qué dominios se cargan y cómo se muestra el destino real.

El portal tiene una política de seguridad de contenido: una cabecera que le dice al navegador desde qué orígenes puede cargar imágenes y scripts. Es una segunda capa excelente para este riesgo, porque aunque el modelo escriba una dirección cualquiera, el navegador no la carga. Pero tiene un modo de prueba en el que solo informa de lo que la viola, sin bloquear nada, y es fácil olvidarla en ese modo.

Lee la política y sus informes de violación. Localiza el dominio externo que recibió peticiones de imágenes desde el chat con datos en la dirección.

Para medir el alcance de una fuga así no se cuentan las peticiones, sino los datos distintos que salieron: la misma póliza enviada dos veces es un solo afectado, y lo que importa para avisar a las personas y para el informe es cuántas son. Por eso, al leer el registro, se separa lo repetido de lo nuevo y se descarta lo que no lleva datos (una imagen decorativa de otro dominio también viola la política, pero no saca nada).

Cuenta cuántos números de póliza distintos viajaron en las direcciones de las imágenes.

En un enlace, el texto visible lo puede escribir cualquiera; lo que manda es el destino. La revisión de enlaces en respuestas compara siempre las dos cosas, y desconfía en particular de un texto que nombra un dominio: si el texto dice un dominio y el destino es otro, la respuesta está llevando al usuario a un sitio distinto del que cree.

Revisa la muestra de enlaces de Pabilo y localiza el que nombra un dominio en el texto visible y lleva a otro distinto.

La corrección combina varias piezas. La política de contenido pasa de solo informe a aplicarse, con una lista corta de orígenes para imágenes. Las imágenes que proponga el modelo no se cargan solas si su dominio no es propio: se muestran como enlace o no se muestran. Los enlaces se validan contra dominios permitidos y, en los demás, se enseña al usuario el destino real antes de seguirlo. Y como todo lo anterior, no depende de que el modelo obedezca una instrucción: lo aplica el código y el navegador.