Ayer (2020.07.2) se actualizó Firefox a su versión 78, con diversas mejoras y bla bla bla. Entre esas mejoras, veo que ha habido algunos cambios en la «Vista de lectura». ¿Que no sabes qué es la vista de lectura? ¿Que, a lo peor, utilizas Chrome?
Si acostumbras a leer blogs, hay dos funcionalidades que vienen con Firefox que te harán la vida más cómoda: la vista de lectura y Pocket.
La vista de lectura te permite centrarte en el contenido del sitio web, eliminando las distracciones. Puedes aumentar el texto, modificar el fondo (modo oscuro, sepia…) y ahora también puedes escuchar el artículo.
Si la página lo permite, la vista de lectura no está disponible en todas las páginas, te aparece el icono de lista de lectura:
Artículo en Uberbin.net
Y así es como se ve un artículo en modo «vista de lectura»:
El mismo artículo visto con la vista de lectura
Personalmente es algo que utilizo bastante a menudo y que combina perfectamente con la opción de guardar en Pocket (otra joyita).
Hay una cosa que me pone especialmente nervioso con algunas empresas y servicios y es que tenga que ser yo, como cliente, el que empuje a hacer mejoras o me tenga que quejar para que se haga algo. Es un modelo que, al parecer, funciona y parece institucionalizado en sectores como las telecomunicaciones o los bancos. Sectores donde el cliente está o se le considera cautivo y donde simplemente es una fuente de ingresos.
Pero no ocurre solamente en esos sectores. Tenemos empresas en las que siempre hay muchas cosas urgentes que hacer, en las que se avanza a base de apagar fuegos, que muchas veces se provocan en la misma compañía. Y, ¿hay algo más urgente que la queja de un cliente gordo? Así que el cliente se queja. Se queja porque es parte del juego y es lo que le han enseñado. Se queja para que le hagan caso, amenaza con irse (si tiene capacidad) si no le hacen esta mejora, si no le bajan el precio, si…
Y la empresa se vuelca a hacer eso (lo que sea) y alguien se cuelga la medalla y la empresa parece la antigua URSS: llena de generales decrépitos cargados de medallas en la pechera y con todo el mundo oficialmente feliz.
Como digo, en algunas empresas, esta es una política consciente. Es así y así debe ser para maximizar los ingresos, que es lo que han decidido que es su objetivo como empresa, y que esta es la mejor forma (conocida) de conseguirlo.
En otros casos, realmente no es así. Simplemente no hay un objetivo a largo plazo, un lugar hacia el que guiar los desarrollos y te dejas llevar. Y también «funciona», y como «funciona», entonces es la-mejor-forma-de-hacerlo.
Y llega un momento en que el cliente se harta, en que los trabajadores se frustran, y la empresa que «funciona» lo hace gracias a clientes y trabajadores resignados a su suerte. Algunos escapan, otros confían en que cambien las cosas, los de más allá tratan realmente de hacer cambios…
No todas las empresas son reactivas, también las hay activas: si puedes, búscalas.
Quizá tengas un dominio que no estés utilizando, que lo tengas en parking, redirigido o simplemente a la espera. En ese caso, puede ser una buena idea bloquear que nadie lo pueda utilizar para enviar emails en tu nombre.
¿Has oído hablar del phishing? Aunque no hayas oído hablar de él, lo que es seguro es que lo has sufrido. Esos correos que parecen que son de tu banco, de una ONG, de tu compañía eléctrica o de telefonía y que te envían a un sitio web donde debes introducir tu usuario y contraseña o tu tarjeta de crédito. Eso es el phishing: correos que suplantan a las verdaderas entidades para engañarte conseguir información (normalmente datos bancarios o contraseñas).
¿Sabrías reconocer el phishing?
Google ha creado un pequeño test en el que te explica cómo puedes detectar si un correo es real o es un intento de phishing.
Vamos a suponer ahora que no solo eres el receptor de esos correos sino que esos mardito roedore están utilizando alguno de tus dominios para hacer el mal. La buena noticia es que tiene solución.
Si no estás utilizando tu dominio para el envío de correo (p.ej. puede que sea un dominio paraguas para redirigir a tu dominio principal), puedes forzar a que se deniegue todo intento de envío de correo en nombre de ese dominio, que cualquiera que reciba un email de ese dominio sepa que no está autorizado. Para eso utilizaremos SPF y DMARC.
SPF (Sender Policy Framework) es la forma más sencilla de otorgar o denegar permiso a terceros para utilizar. Para lo que nos interesa a nosotros ahora, lo que vamos a hacer es prohibir cualquier envío en nombre de nuestro dominio. Para ello, vamos a suponer que el dominio que no queremos que permita envíos se llama sasa.eh (existe la extensión .eh, por cierto, y se corresponde con el Sáhara Occidental). Usando SPF añadiremos la siguiente entrada DNS de tipo TXT en el dominio:
@ IN TXT "v=spf1 -all"
Con esto ya estamos impidiendo enviar emails utilizando nuestro nombre de dominio.
SPF es sencillo, pero no es perfecto. Una vuelta de tuerca adicional vino con DKIM. DKIM te permite cifrar los envíos de forma que el destinatario puede comprobar si la clave que recibe fue realmente emitida por el dominio en nombre del que se realiza el envío. Esto ya requiere un esfuerzo adicional por parte de los servidores de correo y es menos sencillo de implementar que el SPF. Para nuestro caso de uso, esto nos da igual, pero es importante saber que existe DKIM.
DMARC, se apoya en SPF y DKIM para otorgar autenticidad al remitente del envío. Aquí también se trata de añadir entradas DNS en el dominio de forma que indiquen cómo debe comportarse en caso de que se pase la validación SPF o DKIM. Como nosotros lo que queremos es no permitir ningún envío desde sasa.eh, vamos a ser totalmente restrictivos y añadiremos esta entrada DNS de tipo TXT:
_dmarc IN TXT "v=DMARC1; p=reject"
Con estas dos entradas DNS, estamos bloqueando que utilicen nuestro dominio para realizar envíos no autorizados.
Si Google tiene el 99.99% del mercado de búsquedas… solo puede perder mercado ;)
Vamos a ver algunos buscadores que le pueden quitar parte de ese pastel, atacando por el flanco débil del monstruo: la privacidad.
DuckDuckGo (EUA). Una de las alternativas más reconocidas. Yo estoy enamorado de sus bangs, aunque reconozco que algunas búsquedas locales dejan que desear.
StartPage (Paises Bajos). Con opción de vista anónima de las páginas que se muestran en las búsquedas. Tiene su origen en Ixquick.
Qwant (Francia). Otro buscador centrado en la privacidad y made in Europe. Aporta un componente social que no disponen los anteriores. Lo tengo pendiente de testear. De entrada es rápido, hay que ver si también es eficaz.
Ecosia (Alemania). Seamos modernitos y mezclemos ecología (plantar árboles) y privacidad. También a tener en cuenta.
La primera vez que oyes lo de ACME, te imaginas al Coyote persiguiendo al Correcaminos y la voz en voz diciendo algo como «Cohete interestelar marca ACME» pero la verdad es mucho más prosaica
Datos de la organización (OV) y contactos en la empresa
Datos detallados de la organización y contactos en la empresa (EV)
Se valida ese certificado
Para los DV, la validación es sencilla y se trata de asegurar de que tenemos acceso a la gestión del dominio. Hay 3 tipos de validaciones: DNS, FILE o EMAIL. Para la validación DNS tendrás que añadir una cadena concreta en un registro DNS. En el caso de FILE, es similar: hay que subir un archivo en una ruta concreta del dominio. Por EMAIL, se enviará un correo con un enlace a una dirección de email fija (admin@example.com…)
Para los OV y EV, la Autoridad Certificadora (CA), validará en BB.DD. externas la información o llamará al contacto indicando solicitando información adicional. Esta validación puede llevar varios días.
Se genera el Certificate Signing Request (CSR) para la CA
La CA emite el certificado y ya se puede descargar e instalar
Estos pasos se han hecho muchas veces de forma manual, intercambiando correos con la CA para poder avanzar en el proceso. Aquí es donde entra ACME que simplifica y automatiza todo esto y que, aunque vino de la mano de Let’s Encrypt, es un estándar IETF y ha sido adoptado por otras CA.
Cómo funciona ACME
El proceso de solicitud e instalación con o sin ACME es el mismo: solicitud, validación, descarga e instalación. ACME lo que hace es automatizar todo el proceso.
El primer paso es registrarse en el servidor de certificados como cliente ACME. Esto nos permite realizar solicitudes autorizadas de SSL.
Generas la petición para emitir un certificado
Debes probar que gestionas el dominio para el que solicitas el certificado (caso de DV)
Finalizas la petición enviando el CSR
La CA emite el certificado y ya lo puedes descargar e instalar
El proceso como vemos es el mismo. La diferencia está en que con ACME, todo esto se hace de forma automática. Se instala un agente en el servidor web (certbot o cualquier otro compatible) que es el encargado de la comunicación con la CA y de resolver las peticiones de validación del dominio. Las comunicaciones entre este agente/cliente y el servidor se realizan a través de mensajes JSON y por protocolo seguro (HTTPS) y no es necesaria la intervención del usuario de forma directa.
Utilizamos tecnologías como las cookies para almacenar y/o acceder a la información del dispositivo. Lo hacemos para mejorar la experiencia de navegación y para mostrar anuncios personalizados. El consentimiento a estas tecnologías nos permitirá procesar datos como el comportamiento de navegación o los ID's únicos en este sitio. No consentir o retirar el consentimiento, puede afectar negativamente a ciertas características y funciones.
Funcional Siempre activo
The technical storage or access is strictly necessary for the legitimate purpose of enabling the use of a specific service explicitly requested by the subscriber or user, or for the sole purpose of carrying out the transmission of a communication over an electronic communications network.
Preferencias
The technical storage or access is necessary for the legitimate purpose of storing preferences that are not requested by the subscriber or user.
Estadísticas
The technical storage or access that is used exclusively for statistical purposes.The technical storage or access that is used exclusively for anonymous statistical purposes. Without a subpoena, voluntary compliance on the part of your Internet Service Provider, or additional records from a third party, information stored or retrieved for this purpose alone cannot usually be used to identify you.
Marketing
The technical storage or access is required to create user profiles to send advertising, or to track the user on a website or across several websites for similar marketing purposes.
