También disponible en: English · Português · Français · العربية
URIs well-known
El registro completo de IANA de rutas /.well-known/, con estado, responsable y fecha, junto a una medición de lo que los sitios sirven realmente.
Qué es /.well-known/
El RFC 8615 reserva una ruta en todos los sitios web. Cualquier cosa bajo /.well-known/ es un lugar donde un protocolo puede dejar un archivo en una ubicación idéntica en todos los servidores, de modo que un cliente sepa dónde mirar sin que nadie se lo diga. Así demuestra una autoridad de certificación que controlas un dominio, así encuentra un navegador tu página de cambio de contraseña y así enlaza un teléfono una aplicación con una web.
Eso lo convierte en un espacio de nombres global compartido, recortado de todos los dominios de internet, y por eso tiene un registro en vez de ser terreno libre. Hay 101 rutas registradas. Casi todas las listas que circulan tienen una docena de entradas y ninguna fecha; esta las tiene todas, con las tres columnas que el registro publica y las copias suelen tirar.
La más interesante de esas columnas es la del responsable, porque solo 36 de las 101 están en manos del IETF. El resto pertenecen a empresas y consorcios concretos: 54 organizaciones distintas en total. Cuando sirves un archivo bajo /.well-known/, las reglas de la mayoría de esas rutas las escribió quien las pidió.
Cómo usar esta lista
- Busca por ruta, responsable o especificación. El cuadro busca en los tres, así que puedes mirar acme-challenge, o ver todo lo que controla el W3C, o todo lo que define un RFC concreto.
- Filtra por estado. Permanente, provisional, obsoleta y retirada son cuatro cosas distintas, y una lista copiada que las enseñe como un único tipo de fila está escondiendo la diferencia.
- Lee la tabla de despliegue de abajo. Enseña la misma medición contada de dos maneras, y lo que importa es la diferencia entre las columnas.
Una respuesta 200 no significa que el archivo esté ahí
Comprobar si un sitio sirve una ruta well-known parece trivial: la pides y miras si responde 200. Ese método es casi inútil, y la medición de aquí enseña por cuánto.
Sobre 120 dominios, de los que respondieron 89, el código de estado por sí solo dice que host-meta la sirve el 28,1 %. Exigir además un tipo de contenido plausible dice 0,0 %. Ni uno solo de esos dominios sirve un documento host-meta: sirven una aplicación de una sola página cuya ruta comodín responde 200 con una cáscara de HTML a cualquier petición, incluidas rutas que nadie ha registrado jamás.
La exageración no es uniforme, y eso es lo peligroso. Para rutas realmente comunes es leve: assetlinks.json pasa del 61,8 % al 44,9 %, y security.txt del 64,0 % al 42,7 %. Para el resto es demoledora: change-password cae del 37,1 % al 1,1 %, y mta-sts.txt y nodeinfo hacen lo mismo. Una herramienta que informe de la primera columna te está diciendo que un sitio admite cosas de las que nunca ha oído hablar.
Lo que lo delató no fue una comprobación fallida sino un patrón sospechoso: host-meta y nodeinfo puntuaron idéntico, exactamente 25 aciertos cada una. Dos protocolos sin relación no pueden tener la misma adopción, así que el número medía la sonda y no la web. Cualquier comprobación de existencia sobre HTTP necesita un tipo de contenido, una forma del cuerpo, o una ruta de control que se sepa ausente.
Una advertencia clara: 89 dominios son una demostración, no un censo, y existen barridos mucho mayores de estas rutas. El hallazgo es la distancia entre las dos columnas; las cifras absolutas son ilustrativas.
Lo que el registro no te cuenta
El registro recoge lo que se registró, que no es lo mismo que lo que la web sirve. El ejemplo más claro está en la tabla de despliegue: apple-app-site-association la sirve alrededor de un tercio de los dominios de la muestra, lo que la convierte en la tercera ruta más desplegada de las medidas aquí, y no aparece en el registro en absoluto. Google registró su equivalente, assetlinks.json; Apple no registró la suya. Las dos están en millones de sitios.
El estado tampoco sirve de indicador de adopción. change-password sigue siendo solo provisional pese a estar implementada por todos los navegadores importantes y todos los gestores de contraseñas, mientras que muchas entradas permanentes no las sirve casi nadie. Los cuatro estados describen con qué firmeza está reservada una ruta, no cuánto se usa.
Hay una entrada que se ha quedado hueca. Cinco rutas están obsoletas o retiradas, y una de ellas, mud, se ha quedado sin referencia y sin responsable, dejando un nombre registrado que no apunta a nada. Se mantiene en la lista en vez de filtrarla, porque un registro que admite que ya no sabe de quién es algo informa más que una tabla ordenada.
Sobre la exactitud: la página de IANA tiene dos tablas, el registro y otra de contactos de los responsables, y raspar filas sin distinguirlas da 146 entradas para un registro de 101. El generador de aquí identifica el registro por su fila de cabecera, y el conjunto de pruebas vuelve a derivar del HTML de origen todas las cifras de esta página, no del archivo generado, con 971 comprobaciones y 14 controles negativos.
¿Por qué es gratis?
Esto es una tabla que se dibuja en tu navegador. No hay ningún servidor trabajando, así que no hay nada que cobrar ni cuenta que crear.
Tampoco se descarga nada en tu nombre. Un navegador no puede pedir las rutas /.well-known/ de otro sitio, así que esta página no finge comprobar tu dominio: te dice qué existe y qué significan de verdad los números, y las herramientas de desarrollo o la línea de comandos hacen el resto.