Resumen

  • RFC 2017 añadió el acceso URL a message/external-body: el mensaje transportaba una descripción de recuperación, no los bytes del objeto.
  • Las reglas de plegado y codificación conservaban el localizador al cruzar el correo, pero no probaban disponibilidad, identidad, autenticidad ni autorización.
  • La concordancia de tipo, el consentimiento explícito y Content-MD5 seguían siendo controles separados; el expediente oficial no demuestra despliegue generalizado.

MIME ya había previsto que un cuerpo pudiera vivir fuera del mensaje. RFC 1521 enumeraba FTP, FTP anónimo, TFTP, archivo local y servidor de correo como mecanismos de acceso. RFC 2017 agregó URL: un parámetro obligatorio indicaría dónde recuperar el cuerpo y un encabezado interno declararía qué tipo de contenido esperaba la aplicación.

La especificación no aceptó cualquier URL por el mero hecho de parecerlo. Exigió que el esquema recuperara realmente un objeto y excluyó mailto. Ese esquema identifica un buzón y una acción de envío; no entrega directamente los datos que harían de cuerpo externo. La sintaxis compartida no borra la diferencia operacional.

Otra dificultad era el viaje por el encabezado. RFC 2017 dividía el parámetro entre comillas en fragmentos URL-word de hasta cuarenta caracteres, separados por espacio lineal. El receptor quitaba comillas y espacios para reconstruirlo. Antes de dividir, debía codificar espacios sin escapar, controles, comillas, barras inversas y octetos de ocho bits según las reglas históricas de RFC 1738.

Eso protegía la representación. No afirmaba que el destino existiera, que las credenciales bastaran, que una redirección conservara el mismo responsable o que dos consultas devolvieran el mismo contenido. El mensaje podía llegar impecable y la recuperación fracasar por completo.

La aplicación decidía antes de saberlo todo

El encabezado de la entidad interna anunciaba el tipo de medio. RFC 2017 pedía que la versión usada tras la recuperación concordara con esa declaración, porque la aplicación podía haber tomado ya decisiones irrevocables. Elegir un decodificador o invocar un manejador convierte una afirmación previa en una decisión de ejecución.

El llamado cuerpo fantasma debía quedar vacío en el acceso URL. La ausencia era deliberada: no había copia reducida dentro del mensaje. Esta regla también separaba el caso URL del acceso mediante servidor de correo, donde esa zona llevaba el comando que debía enviarse.

RFC 2046, sucesor de RFC 1521, conservó el modelo y requirió Content-ID para cuerpos externos, facilitando la correlación de caché y recibos posteriores. Su advertencia más importante no es sintáctica: resolver un external-body hace que el destinatario ejecute una operación indicada por el remitente. El programa debe explicar la acción y pedir permiso explícito.

La validez del localizador no concede ese permiso. Tampoco un resumen criptográfico firma al autor. RFC 2017 admite Content-MD5 para comparar la integridad de los bytes recuperados con lo previsto por el remitente, pero aclara que no es una firma digital. RFC 1864 establece el mismo límite.

Por eso el mensaje y el objeto remoto pertenecen a cadenas de evidencia diferentes. La autenticidad del primero no se extiende automáticamente a bytes obtenidos después mediante otro protocolo. El mecanismo puede ser desviado; el objeto puede cambiar. Una dirección describe un camino, no una identidad permanente del contenido.

RFC 2017 figura todavía como Proposed Standard en los registros actuales; la consulta de erratas no mostró entradas asociadas durante esta revisión. RFC 1738, base histórica de su codificación, hoy está obsoleto, mientras RFC 3986 aporta la sintaxis URI genérica posterior. Nada de ello prueba adopción, escala de implementación o descendencia directa en productos actuales.

La enseñanza histórica consiste en conservar las separaciones. Recibir la dirección no es recibir el objeto. Recuperarlo no es autenticarlo. Verificar un digest no demuestra autoría. Y presentar un resultado no prueba que el usuario consintiera la operación que lo obtuvo.

Fuentes