Resumen

  • El registro de cambios 2.12.0, fechado el 18 de agosto de 2026, afirma que operadores gubernamentales y universitarios pueden solicitar el monitoreo de su dominio mediante un botón en la portada y en todas las páginas de país.
  • Los archivos públicos capturados el 5 de septiembre contienen ambos controles con el atributo hidden. El script compartido define FORM_URL como una cadena vacía y solo revela el botón después de validar una dirección HTTPS absoluta.
  • El diseño se cierra de forma segura y otras medidas de seguridad de la misma versión sí dejan evidencia pública. Por ello, el hallazgo se limita a una función no activada dentro de una entrega mixta; no prueba una caída general ni la inexistencia de otra vía de contacto.

El botón existe antes de poder usarse

La portada del Africa IPv6 & DNSSEC Deployment Monitor contiene un enlace pensado como llamada a la acción. Se identifica mediante data-request-form, conserva href="#" y nace con el atributo booleano hidden. Un comentario en el propio documento indica que request-form.js aportará el destino y que, hasta entonces, el control seguirá oculto.

La página de Sudáfrica repite la estructura en la barra de navegación. No es una muestra aislada del diseño de la portada: representa la segunda familia de superficies citada por el registro de cambios. Ambas páginas cargan el mismo script especializado antes de sus respectivos programas de presentación de datos.

La hoja de estilo elimina cualquier ambigüedad sobre hidden. Las reglas .hero-cta[hidden] y .topnav-cta[hidden] aplican display: none. Por tanto, el control puede estar desplegado en el documento y ausente de la interfaz utilizable al mismo tiempo.

Esa distinción es el centro de esta historia. La versión 2.12.0 del 18 de agosto no se limita a decir que el código fue preparado. Afirma que los operadores de dominios gubernamentales y universitarios pueden solicitar monitoreo y que el botón aparece en la portada y en la parte superior de cada página nacional. Lo servido el 5 de septiembre conserva la primera mitad técnica —el elemento está allí—, pero no la transición que hace verdadera la promesa operativa.

Una cadena vacía mantiene cerrado el camino

El script público concentra la configuración en una sola línea:

const FORM_URL = '';

Después reúne los controles marcados y trata de construir una URL con el valor. La acepta únicamente si el protocolo es https:. Un valor vacío, mal formado o perteneciente a otro esquema deja target sin definir. En ese caso, el programa vuelve sin asignar destino y sin retirar hidden.

La ruta positiva muestra exactamente qué falta. Con una dirección válida, el código sustituye el vínculo, solicita una pestaña nueva, añade noopener noreferrer external y ejecuta btn.hidden = false. La configuración capturada no puede alcanzar esa rama.

Ni landing.js ni country.js contienen otro selector data-request-form. Se ocupan del mapa, los indicadores, las tablas y el contenido de país. El archivo específico de solicitudes es la única ruta de activación observada en los recursos entregados.

Esto no equivale a afirmar que AFRINIC nunca construyó un formulario. Tampoco demuestra por qué la variable está vacía, desde cuándo lo está, si alguna vez tuvo valor o si existe un procedimiento no enlazado desde estas páginas. No se envió una solicitud durante la investigación. Se desconoce si hay recepción, cola, plazo de respuesta o contacto alternativo.

La comprobación está fechada. Los archivos JavaScript y CSS indicaban un caché público de 3.600 segundos. Una actualización posterior puede hacer que el estado cambie en una hora o menos para algunos lectores. El registro correcto conserva la fecha y el hash de lo observado; no congela el servicio en el tiempo.

Fallar cerrado no corrige la nota de versión

El mecanismo merece una valoración favorable. Mostrar un enlace sin destino daría una falsa salida. Aceptar javascript:, data: o una dirección insegura crearía un riesgo mayor. El script valida una dirección HTTPS absoluta y, si no la obtiene, no muestra nada. Cuando sí la obtiene, también restringe la relación con la ventana nueva y la información de referencia.

Es una decisión sensata para la interfaz. El usuario no recibe un botón roto ni una redirección peligrosa. Sin embargo, la protección local no actualiza la afirmación pública de que la solicitud puede hacerse. Son dos controles diferentes: uno gobierna lo que ejecuta el navegador; el otro gobierna la exactitud del estado comunicado.

Una organización puede elogiar el primero y reparar el segundo sin acusar a nadie de negligencia. El problema no necesita convertirse en una narrativa de avería, engaño o incidente de seguridad. Basta con reconocer que “incluido en la entrega” y “activado de extremo a extremo” son estados separados.

La versión también contiene cambios observables

El mismo registro 2.12.0 enumera medidas de seguridad. Algunas se pueden contrastar con el despliegue. robots.txt bloquea /data/ para los rastreadores y explica que los JSON usados por el panel son detalles de implementación. El archivo público de Sudáfrica responde con X-Robots-Tag: noindex: permanece accesible para el funcionamiento del sitio, pero lleva una instrucción explícita contra su indexación.

El programa de la página nacional también define una función de escape para caracteres especiales y la aplica a nombres de países insertados en el HTML de las etiquetas del mapa. Esa conducta coincide con otra mejora descrita en la versión.

La afirmación sobre archivos de trabajo de compilación que ya no serían accesibles no se verificó, porque el registro no publica las rutas y esta revisión no intentó descubrirlas. Debe seguir tratándose como una afirmación de la fuente, no como una prueba reproducida.

La consecuencia editorial es importante. No hay base para declarar fallida toda la 2.12.0. En una misma entrega, la protección contra indexación y el escape tienen evidencia visible, mientras que la función de solicitud está instalada pero desactivada. El objeto correcto de auditoría es cada promesa de la versión.

Estado Resultado observado el 5 de septiembre
Promesa de solicitudes en el registro Presente
Control en portada y página de país Presente en HTML
Visibilidad inicial Oculto
Dirección compartida Vacía
Validación antes de activar HTTPS absoluto
Solicitud y acuse completos No comprobados
Otras mejoras de la versión Algunas sí observables

No se puede deducir el sesgo mirando el control

El monitor mide despliegues de IPv6 y DNSSEC en dominios institucionales. Este examen no añadió dominios, no ejecutó escaneos y no reconstruyó indicadores. El botón oculto no explica por sí solo ningún porcentaje nacional. Sería especialmente incorrecto calcular “dominios ausentes” o atribuir representatividad a partir del HTML.

Sí existe una pregunta de selección. Cuando falta una vía pública, una institución con relaciones previas puede encontrar un contacto informal, mientras que otra que depende de la página no llega al proceso. Si esa diferencia persiste, podría influir en qué dominios entran al conjunto observado. La palabra es podría: no hay registros públicos de solicitudes, decisiones o rechazos que permitan medirlo.

Por eso la evidencia que falta no es otro gráfico, sino la historia de admisión. Una cadena mínima distinguiría solicitud recibida, acuse, decisión, alta del dominio, primera medición y motivo de exclusión. Así se puede interpretar un cambio de denominador sin confundir la cobertura del monitor con el desempeño de todo un país.

Hacer verificable la activación

Una recepción por función puede unir seis piezas que hoy viven separadas: texto de la versión, huella del recurso desplegado, estado de FORM_URL, superficies comprobadas, prueba de envío y acuse, y hora efectiva con su responsable. También debe conservar la corrección o reversión posterior.

No es necesario crear un comité de aprobación. Un pequeño registro de solo adición basta para que el equipo diga activado, aplazado, retirado o corregido. Si el formulario no está listo, cambiar la nota de versión es tan válido como habilitarlo. La meta es una correspondencia honesta, no obligar a mantener siempre una función.

Al separar las piezas, la seguridad deja de ser rehén de la solicitud. Las protecciones ya visibles pueden reconocerse y mantenerse. A su vez, no se usan como argumento para dar por disponible la entrada. La versión se convierte en un mapa de estados que un operador futuro puede leer sin reconstruirlo desde fragmentos de código.

Fuentes

La promesa de la versión procede del registro de cambios del monitor. La portada y la página de Sudáfrica muestran la estructura desplegada. La lógica que valida y activa la entrada está en request-form.js. El script de portada, el script de país y la hoja de estilo delimitan los demás comportamientos.

La revisión de seguridad se apoya en robots.txt, los encabezados y el contenido del JSON de Sudáfrica, y la función de escape de country.js. Los archivos y encabezados se recopilaron el 5 de septiembre de 2026. No se envió un formulario y no se afirma haber completado una inspección visual en navegador.