Resumo

  • O histórico da versão 2.12.0, de 18 de agosto de 2026, diz que operadores de domínios governamentais e universitários podem solicitar monitoramento, usando um botão na página inicial e no topo de cada página de país.
  • Os arquivos públicos obtidos em 5 de setembro contêm esses controles, mas ambos chegam com o atributo hidden. O script comum deixa FORM_URL vazio e só revela o botão depois de validar um endereço HTTPS absoluto.
  • A implementação falha de forma segura e outras correções de segurança da mesma versão deixam sinais observáveis. A evidência mostra uma função ainda não ativada dentro de uma entrega mista; não prova queda geral nem ausência de outro canal de solicitação.

A interface chegou antes do destino

Na página inicial do Africa IPv6 & DNSSEC Deployment Monitor há um link identificado por data-request-form. Ele carrega href="#" e o atributo booleano hidden. O comentário ao lado explica a intenção: request-form.js definirá o destino; até isso acontecer, o botão ficará escondido.

A página da África do Sul repete o arranjo na navegação superior. Assim, a peça existe nas duas famílias de página mencionadas pelo histórico da versão, e não apenas como sobra de um protótipo da capa. As duas carregam o mesmo script dedicado antes do código que cuida dos mapas, números e tabelas.

A folha de estilos torna o efeito concreto. Tanto .hero-cta[hidden] quanto .topnav-cta[hidden] recebem display: none. O elemento está implantado no documento, mas não integra a interface disponível ao visitante.

Essa formulação evita uma falsa escolha. Não é necessário dizer que o botão “não existe”, porque ele está no HTML. Também não é correto dizer que “aparece”, no sentido operacional empregado pela nota da versão, porque a configuração entregue mantém a condição de ocultação. O estado preciso é: componente implantado, função desativada.

Duas aspas vazias controlam o caminho

O arquivo público de solicitação concentra a configuração numa linha:

const FORM_URL = '';

O programa seleciona todos os elementos [data-request-form] e tenta analisar o valor como URL. Só um endereço absoluto cujo protocolo seja https: vira destino. Se a string estiver vazia, malformada ou usar outro esquema, a execução retorna antes de alterar o link e antes de remover hidden.

O ramo de sucesso descreve o que seria a ativação. O script grava o endereço validado, abre uma nova aba, acrescenta noopener noreferrer external e por último executa btn.hidden = false. Com a configuração observada em 5 de setembro, o ramo não é alcançável.

Os scripts landing.js e country.js não contêm o seletor da solicitação. Eles apresentam dados, organizam o mapa e constroem os painéis nacionais. Não há, nos arquivos servidos, uma segunda rotina que revele o controle por outra condição.

A constatação se baseia no HTML, JavaScript, CSS e cabeçalhos obtidos diretamente naquele dia. A inspeção visual em navegador não foi concluída, portanto este texto não reivindica uma captura de tela. A lógica estática, no entanto, determina sem ambiguidade que o controle permanece oculto com o valor entregue.

Fechar com segurança é um mérito, não uma ativação

Seria pior exibir uma chamada que leva apenas a #. Também seria perigoso aceitar qualquer esquema e deixar uma configuração manual introduzir javascript:, data: ou um endereço sem HTTPS. O script trata o valor como não confiável, valida o protocolo e prefere não mostrar a função quando falta um destino seguro.

Quando a função é habilitada, a nova página não recebe acesso pelo window.opener, e o link limita o referenciador de acordo com a política do site. O comportamento revela cuidado deliberado, não uma simples regra de estilo perdida.

Esse cuidado resolve o risco local para o navegador. Não altera, contudo, a frase pública de que operadores podem fazer o pedido e de que o botão aparece. Segurança da falha e fidelidade do registro são controles distintos. É possível reconhecer o primeiro e corrigir o segundo sem transformar o caso em acusação de pane ou má-fé.

As fontes não explicam por que o endereço está vazio, há quanto tempo, se já esteve preenchido ou se existe um formulário fora das páginas examinadas. Nenhuma solicitação foi enviada. Não há observação de recibo, fila, prazo de atendimento ou dano a um operador.

O estado também pode mudar. O JavaScript e o CSS informavam cache público de uma hora. Uma implantação posterior pode ativar ou retirar a função. Por isso, a afirmação precisa conservar a data de 5 de setembro e os arquivos observados, em vez de apresentar a captura como condição permanente.

Outras partes da versão têm prova visível

A mesma 2.12.0 lista medidas de segurança. Pelo menos duas aparecem no ambiente público. robots.txt impede que robôs percorram /data/ e explica que os JSON usados pelo painel não devem ser indexados. O arquivo da África do Sul continua respondendo HTTP 200 para que a aplicação o consuma, mas envia X-Robots-Tag: noindex.

O script de país também define uma função que escapa caracteres especiais antes de inserir valores no HTML. Nomes vindos do mapa passam por essa função ao compor as dicas visuais. É uma correspondência observável com a linha da versão sobre escapar nomes de países.

O registro ainda diz que arquivos de trabalho da compilação deixaram de ser acessíveis pela Web. Como não há caminhos publicados, esta apuração não tentou localizar recursos desconhecidos. Essa parte permanece uma declaração da fonte, não uma verificação independente.

As diferenças impedem que a 2.12.0 seja julgada como um único bit. Há melhorias de segurança com evidência de produção e uma função de entrada com estrutura pronta, porém sem configuração de destino. Uma recepção por versão apagaria justamente a informação mais útil.

Pergunta Estado observado em 5 de setembro
A nota promete a solicitação? Sim
Os controles estão nas duas páginas? Sim, no HTML
Começam visíveis? Não, chegam com hidden
O script tem um destino? Não, FORM_URL está vazio
A falha fica fechada? Sim
Um pedido completo foi aceito? Não testado
Há outras mudanças da versão em produção? Algumas são observáveis

O estado do botão não mede a qualidade da amostra

O monitor trata de domínios governamentais e institucionais. É tentador ligar a ausência do canal público à composição dos domínios observados. Os arquivos analisados não permitem quantificar essa relação.

Nenhum domínio foi submetido ou incluído nesta apuração. Nenhuma varredura foi executada e nenhum percentual foi recalculado. Logo, o botão não explica diretamente o valor de um país, a quantidade de instituições ausentes ou a representatividade do conjunto. Mesmo um formulário ativo não garante aceitação.

Há apenas um mecanismo plausível a testar. Uma instituição que já conhece alguém da equipe pode encontrar uma via informal; outra, dependente do site, não chega ao processo. Se isso persistir, a seleção pode favorecer relações anteriores. “Pode” é a palavra necessária: sem histórico de pedidos, confirmações, decisões e alterações da lista, não há viés observado.

O registro que ajudaria vem antes da medição. Pedido recebido, confirmação enviada, decisão, domínio incluído, primeira varredura e motivo de exclusão devem ter estados distintos. Isso permite explicar por que o denominador mudou sem transformar o painel em censo de todas as instituições africanas.

Um recibo pequeno para cada função

Um comprovante de ativação poderia reunir o texto exato da versão, a impressão digital do arquivo implantado, o estado do endereço, as superfícies verificadas, um teste completo com recibo, o horário efetivo e o papel operacional responsável. O conteúdo sensível do formulário não precisa ser publicado.

Também é importante registrar adiado, retirado e corrigido. Se o canal não estiver pronto, uma correção datada no histórico pode ser a solução correta. O objetivo não é obrigar o botão a permanecer ligado; é manter a declaração pública e o caminho em execução no mesmo estado.

Essa granularidade preserva os acertos da versão. A proteção contra indexação e o escape de texto podem ser aceitos por suas próprias provas. Ao mesmo tempo, não emprestam sua conclusão ao pedido de monitoramento. Um operador futuro recebe um mapa de estados, não apenas um número de versão.

Fontes

A promessa consta no histórico público do monitor. A estrutura implantada foi conferida na página inicial e na página da África do Sul. A condição de ativação está em request-form.js. O script da capa, o script de país e a folha de estilos delimitam as demais responsabilidades.

A comparação de segurança usa robots.txt, o conteúdo e os cabeçalhos do JSON da África do Sul, além da função de escape no script de país. Os materiais públicos foram obtidos em 5 de setembro de 2026. Não houve envio de formulário nem uma inspeção visual concluída no navegador.