Resumen

  • El 3 de septiembre de 2026, el IESG concluyó que el borrador independiente Safe-IOC no entraba en conflicto con trabajo del IETF. La conclusión no valida el mérito técnico, no expresa consenso del IETF y no publica una RFC.
  • Una representación canónica reduce activaciones accidentales, pero la operación inversa devuelve un valor utilizable. La seguridad depende de quién lo recupera, dónde lo escribe y qué sistema puede resolverlo, visitarlo o convertirlo en política.

El anuncio del IETF comunica el resultado de la revisión de conflicto. Conforme a RFC 5742, el IESG comprueba posibles choques entre una presentación independiente y el trabajo del IETF; si no los encuentra, el proceso independiente conserva la evaluación de mérito y publicación. La ficha del documento identifica un borrador individual, Informational, del Independent Submission stream. La versión 13 está fechada el 4 de septiembre de 2026 y todavía no era una RFC.

No-conflicto no significa homologación. La guía del RFC Editor dice que las publicaciones independientes no requieren ni representan consenso comunitario y no son estándares ni buenas prácticas. La distinción institucional evita atribuir al IESG una garantía que no dio.

El borrador 13 sí define un mecanismo útil. Sustituye la diversidad de hxxp, puntos alterados y signos improvisados por una transformación ordenada. El esquema y los delimitadores estructurales del usuario y del host se vuelven no válidos para un analizador URI genérico; los tokens ya transformados se consideran opacos. Así, repetir la operación no multiplica los corchetes.

Pero la reversibilidad cambia la pregunta. La desofuscación recupera precisamente aquello que podía activarse. El borrador exige escribirlo en un búfer no ejecutable y prohíbe hacerlo dentro de una vista previa, un documento vivo, una barra de direcciones o cualquier contexto que pueda resolver, ejecutar o crear un enlace. La organización debe demostrar esa condición en el destino, no inferirla de la entrada.

La RFC 3986 aporta otro límite. Un punto porcentualmente codificado en el host es un carácter no reservado y puede normalizarse antes de neutralizarse; un delimitador reservado codificado no debe decodificarse porque cambiaría la estructura. El viaje de vuelta conserva el significado, pero no siempre los mismos bytes. Guardar únicamente la forma normalizada rompe una cadena de custodia que podría importar en una investigación.

Los destinos incrustados obligan a clasificar. Una URL puede contener otra dentro de un parámetro de redirección. Alterar todos los puntos, dos puntos y arrobas de ruta, consulta y fragmento dañaría contenido que no es un indicador. La especificación limita la recursión a secuencias reconocidas por la gramática. Una versión distinta del analizador puede tomar una decisión distinta sin que el operador cambie su política.

Una forma parcial es especialmente peligrosa: parece disciplinada, pero mantiene un esquema activo o un host interpretable. También sobreviven los formularios heredados hxxp y hxxps. Su presencia provisional en el registro de esquemas URI de IANA, gobernado por RFC 7595, no los convierte en destinos autorizados. El propio borrador ordena no resolver ninguna forma ofuscada.

La neutralización tampoco responde si conviene bloquear. RFC 9424 sitúa cada IoC en un ciclo de descubrimiento, valoración, intercambio, despliegue, detección, reacción y fin de vida. Los indicadores pueden ser frágiles, de doble uso o haber cambiado de dueño. RFC 7970, STIX 2.1 y TAXII 2.1 demuestran el valor de contexto, relaciones y transporte estructurados. Ninguno permite confundir recepción con aplicación efectiva.

Las pruebas deben usar nombres reservados por RFC 2606, no direcciones atribuidas a una campaña real. Después, la regla de Running-Code Primacy exige verificar los visores, escáneres y controles que realmente corren. Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption permite compartir una sintaxis mínima sin centralizar la autorización de actuar. On Reality Layers, Symbolic Power, and Why Clarity Feels So Hostile obliga a separar “parece neutralizado” de “no produjo una acción”.