Registros del servidor: qué anota su sitio sobre el lector

Ahora usted es la parte a la que alguien escribe

Un lector que quiera saber quién visitó su sitio no empieza por su proveedor de alojamiento. Empieza por usted, porque usted es la única parte de la cadena con un interés directo en conservar el registro, un domicilio legal al que se le puede escribir, y ningún informe de transparencia que publicar después.

Esa es una frase incómoda de escribir para una empresa de alojamiento, así que aquí está la aritmética que hay detrás. El inventario publicado aquí dice que los registros de acceso HTTP se destruyen con un temporizador de veinticuatro horas y que después no queda historial de direcciones en ningún sitio. Un servidor web estándar en una máquina alquilada con nosotros conserva su propio registro de acceso durante una quincena, en una copia de seguridad nocturna durante un año, y nadie fijó ninguna de esas dos cifras a propósito. La elección cuidadosa de proveedor queda anulada por un valor por defecto que nadie leyó.

Qué contiene realmente una línea de un registro de acceso

El formato por defecto de los dos servidores web más comunes lleva veinticinco años estable, y casi nadie lo lee como el registro de una persona. Merece la pena leerlo así una vez, porque cada campo de abajo es una revelación por separado, y se acumulan.

El campo	Qué dice	Qué puede identificar
La dirección del cliente	La dirección desde la que llegó la solicitud, completa	Una línea de abonado: la entidad que la asignó puede resolverla hasta un hogar o un empleador, y cualquiera con una base de datos puede situarla en una ciudad
La marca de tiempo, al segundo	Cuándo llegó la solicitud, con el desfase horario	Un patrón horario que revela primero un día laborable, después una región, después una rutina
La línea de solicitud	El método, la ruta completa, incluido todo lo que va después del signo de interrogación, y el protocolo	Todos los tokens, identificadores de sesión y enlaces de un solo uso que se hayan puesto alguna vez en una URL de su sitio
El código de estado y el número de bytes	Si funcionó, y cuánto se devolvió	Qué documento se sirvió. Un 200 de longitud conocida identifica la página incluso cuando la conexión estaba cifrada
La dirección de referencia	La página en la que estaba el lector justo antes	El enlace privado que le enviaron, el foro que habló de usted y, en los referentes más antiguos, la búsqueda que hizo
El agente de usuario	Navegador, versión, motor, sistema operativo, a veces el modelo del dispositivo	Poco por sí solo y mucho en combinación — es el primer campo de toda huella digital jamás creada
El usuario autenticado	Quien sea que su aplicación o su autenticación básica haya escrito ahí	Una cuenta con nombre, unida a los seis campos anteriores, en una sola línea

Siete campos, una línea, escritos en cada solicitud que hace un navegador — lo que para una sola visualización de página suele ser entre veinte y ochenta líneas. Nada de eso fue una decisión. Todo ello es un registro.

Nueve lugares donde su propia infraestructura deja constancia de un visitante

Casi todos los argumentos sobre el registro giran en torno a la primera fila. Es la que la gente sabe que existe, y no es ni de lejos lo más revelador de la máquina.

Dónde	Qué registra	Cuánto tiempo suele sobrevivir
El registro de acceso	Los siete campos anteriores, en cada solicitud	Una rotación que usted no eligió. Dos semanas es lo habitual por defecto
El registro de errores	Solicitudes fallidas y rechazadas, con la dirección, la URL completa y, con frecuencia, la página de referencia	La misma rotación, y nadie la ha abierto jamás
El registro de la aplicación	Lo que su framework haya decidido que merecía una línea: identificadores de cuenta, direcciones de correo, a veces un cuerpo de solicitud entero	Hasta que se llena el disco, en muchísimas instalaciones
El registro de la base de datos	Consultas lentas, literales, con los parámetros incluidos	Hasta que alguien se da cuenta de que está activado
El registro de correo	Cada dirección a la que envió algo, cada dirección que rebotó, y el momento en que se intentó cada una	Una rotación, más lo que haya quedado atascado en la cola
El proxy o la CDN por delante	La misma solicitud otra vez, en otra empresa, con la dirección real trasladada a una cabecera	La retención de esa empresa, que no es la suya y que no está publicada en su página de privacidad
Analítica	Una visita, una dirección, una pantalla, un referente y una ruta ordenada por el sitio	Meses por defecto, años si nadie tocó la configuración por defecto
El rastreador de errores	Una traza de pila, la dirección que la provocó, y lo que hubiera en el contexto en ese momento	Lo que cubra el plan contratado
Cada copia de seguridad de los ocho anteriores	Todo ello otra vez, congelado en el momento en que se ejecutó la instantánea	La retención de las copias de seguridad — con toda fiabilidad, la cifra más alta de esta tabla

La última fila es la que echa por tierra la mayoría de las buenas intenciones. Acortar la rotación de un registro de catorce días a uno solo cambia lo que hay en el disco, y no cambia absolutamente nada la copia que se tomó a las tres de la madrugada y que se conservará durante un año. Eliminar un registro que ya se ha replicado es un cambio de ubicación, no una eliminación.

Los dos campos que revelan más que la dirección

La dirección es el campo por el que todo el mundo discute, y es el que tiene la vida útil más corta: cambia, se comparte, y en una red móvil pertenece a un operador y no a una persona. Los dos campos de al lado son, calladamente, peores.

La dirección de referencia describe al lector, no la solicitud

Responde a una pregunta que usted nunca hizo: dónde estaba esa persona hace un instante. Puede ser el enlace a un documento privado que le reenviaron, un sistema interno de tickets, la vista previa de un cliente de correo, o una página de un sitio que no querría ver asociada al suyo. Los navegadores ahora recortan la ruta cuando el destino es un origen distinto, lo cual ayuda — y no hace absolutamente nada por los enlaces dentro de su propio sitio, donde la ruta completa se sigue enviando y se sigue registrando.

El agente de usuario es la semilla de una huella digital

Por sí solo es una multitud. Combinado con una dirección, una cabecera de idioma, un orden de solicitud y un conjunto de formatos aceptados, con frecuencia identifica a un único visitante durante semanas — sin necesidad de una cookie, sin consentimiento, y sin que nadie haya decidido rastrear nada. Este es el mecanismo que hace que “solo guardamos registros del servidor” sea una frase más débil de lo que cree quien la pronuncia.

Los secretos acaban en el registro porque estaban en la URL

Este es el fallo por el que vale la pena leer esta página, porque es habitual, es silencioso y está completamente bajo su control. Todo lo que va después del signo de interrogación forma parte de la línea de solicitud, y la línea de solicitud es lo que se escribe.

Los enlaces para restablecer la contraseña. Un token de un solo uso en una cadena de consulta se guarda en texto plano en el registro de acceso, en la copia de seguridad del registro de acceso, y en todos los proxies entre el lector y usted.
Los enlaces de invitación y de baja. La misma forma, con una vida más larga, y generalmente sin caducar nunca.
Los identificadores de sesión que se pasan en la URL. Poco frecuentes en el código nuevo, todavía presentes en el código antiguo, y una toma de control completa de la cuenta para quien tenga el archivo.
Las claves de API entregadas a un navegador. Una clave en una cadena de consulta es una clave en un registro, una clave en un referente enviado a un tercero, y una clave en el historial del lector.
El cuadro de búsqueda. Un buscador del sitio que envía por GET escribe cada consulta que alguien haya escrito jamás en su sitio, junto a la dirección de quien la escribió.

La solución no es una opción de registro. Traslade el valor a una cabecera o a un cuerpo de solicitud, donde ningún formato por defecto lo registra, y rote todo lo que ya se haya escrito. Un filtro de registro que elimina tokens es una cosa más que mantener, y fallará la primera vez que alguien añada un parámetro.

Qué se le puede exigir, y quién puede hacerlo

Las demás guías de este sitio tratan sobre instrumentos que llegan a una empresa de alojamiento en una jurisdicción elegida para ese fin. El instrumento que llega hasta sus propios registros es más simple: se le notifica a usted, donde usted esté, y la ubicación de la máquina no forma parte de la cuestión.

Una demanda civil en su propio país. Alguien que denuncia un comentario, una filtración o una compra le pide al operador del sitio lo que el operador tenga. Ese es usted, y es fácil que le exijan entregar una quincena de registros de acceso.
Una solicitud de un lector. Según la legislación europea de protección de datos, una persona puede preguntar qué información tiene usted sobre ella, y una dirección puede ser datos personales: así lo declaró el Tribunal de Justicia en 2016 en Case C-582/14, donde una dirección dinámica en poder del operador de un sitio web era un dato personal porque existía una vía legal para llegar hasta el abonado. La retención también tiene que justificarse — Article 5(1)(e) dice que no debe ser por más tiempo del necesario, y “así venía configurado el paquete” no es una finalidad.
Quien comprometa la máquina. El lector más probable de su registro de acceso no es, ni de lejos, un tribunal. Los registros rara vez están cifrados, rara vez se supervisan y casi nunca se incluyen en un modelo de amenazas, y se encuentran en una ruta predecible en todos los servidores montados de la forma habitual.
Cualquiera al que lleguen sus copias de seguridad. Una copia externa es una copia en otra empresa, bajo otra jurisdicción, sujeta a instrumentos que usted no ha leído.

Nada de esto es asesoramiento legal, y esta empresa no es su abogado. Es la misma lógica de inventario aplicada a su lado de la línea: lo que usted no puede entregar no se le puede exigir, y todo lo demás es cuestión de qué tribunal lo esté pidiendo. Cómo se desarrolla esto por el lado del alojamiento se explica en qué ocurre realmente cuando la policía pregunta a un proveedor de alojamiento.

El instinto después de leer hasta aquí es desactivar el registro por completo, y es el movimiento equivocado: un servidor sin registros no se puede depurar, no se le puede aplicar una limitación de tasa con criterio, y no puede avisarle de que en ese momento le están atacando. El objetivo no es cero. Es conservar la parte que responde a una pregunta operativa y descartar la parte que solo responde a una pregunta sobre una persona.

El cambio	Qué hace	Qué le cuesta
Truncar la dirección tal como se escribe	Poner a cero el último octeto de una dirección v4, o los últimos ochenta bits de una v6, en el propio formato de registro, de modo que el valor completo nunca se escriba en el disco	El análisis forense por visitante, después de los hechos. El bloqueo y la limitación de tasa siguen funcionando, porque ambos actúan sobre la solicitud en curso y no sobre el archivo
Acortar la rotación deliberadamente	Un día para un sitio público, mantenido porque usted eligió esa cifra y no porque lo decidiera un paquete	La capacidad de investigar cualquier cosa anterior a la ventana que usted eligió
Dejar de registrar los recursos estáticos	Elimina cuatro quintas partes de las líneas y ninguna parte del significado	Nada. Esta es la única fila sin contrapartida
Eliminar la dirección de referencia	Dejar de registrar dónde estaba el lector hace un momento	Saber qué enlace o qué debate le está enviando lectores, algo que la analítica puede responder con consentimiento en su lugar
Separar el registro de seguridad del registro de analítica	Dos archivos, dos finalidades, dos cifras de retención, y solo uno de ellos con direcciones	Veinte minutos de configuración, una sola vez
Poner los registros en la lista de exclusión de las copias de seguridad	Evita que la instantánea nocturna conserve calladamente lo que la rotación acaba de destruir	Nada que vaya a echar en falta. Nadie ha restaurado nunca una copia de seguridad para leer un registro de acceso antiguo

Dos de esos seis cambios no cuestan nada y anulan la mayor parte de la exposición de esta página. El último es el que a nadie se le ocurre, y es la razón por la que los otros cinco se quedan cortos.

Los terceros que registran a sus lectores por usted

Todo lo anterior tiene que ver con archivos en una máquina que usted controla. Un navegador que carga su página también abre una conexión con cualquier otro origen que la página mencione, y cada uno de ellos recibe la dirección, el agente de usuario y un referente que indica cuál de sus páginas se estaba leyendo — antes incluso de que se haya respondido a ningún aviso de consentimiento, porque la solicitud ya ha salido.

Una fuente servida por otra parte. Una línea en una hoja de estilos, y cada lector de cada página queda revelado a un tercero por un archivo que usted mismo podría alojar en el mismo directorio que el resto del sitio.
Un vídeo o un mapa incrustado. Se carga con solo verlo, en cada página en la que aparece, tanto si alguien pulsa reproducir como si no.
Un widget de chat o un gestor de etiquetas. Presente en cada página por diseño, y capaz de cargar más código que usted no ha revisado.
Un rastreador de errores. El más útil de todos, y el más revelador: existe para enviarle el estado de la sesión de otra persona.
Una CDN delante de todo el sitio. No es un argumento en contra — es una compensación razonable — pero es una empresa que ve cada solicitud antes que usted, guarda sus propios registros, y responde ante su propia jurisdicción.

Autoalojar las tres primeras suele ser el trabajo de una tarde, y elimina más observación de terceros que cualquier opción de su propio servidor. Es también la parte de esta página que mejora lo que reciben sus lectores, y no solo lo que a usted le pueden exigir que entregue, que es la razón para hacerlo primero. La lista equivalente, centrada en su propia exposición y no en la de sus lectores, está en las nueve cosas que identifican un sitio.

Qué puede hacer esta empresa al respecto, y qué no puede hacer

Trazar la frontera con honestidad vale más que una promesa tranquilizadora, así que aquí está, desde este lado.

Nuestros propios registros de acceso HTTP se destruyen con un temporizador de veinticuatro horas, y no existe historial de direcciones, ni registro de la ubicación de inicio de sesión, ni huella digital que le sobreviva. La lista completa de lo que sí sobrevive está publicada como inventario, y llega a siete registros.
Lo que llega por la vía del proceso legal se contabiliza en el informe de transparencia, y lo que una orden válida produce realmente está escrito de antemano, en lugar de decidirse en el momento.
En un VPS o en un servidor dedicado, los registros descritos en esta página están dentro de su propio sistema operativo. Nosotros no los leemos, no los enviamos a ningún sitio, y tampoco podemos configurárselos — ser el único inquilino es un arma de doble filo, que es precisamente la idea.
Lo que sí podemos abarcar es la capa de debajo: ningún registro de identidad al darse de alta, liquidación únicamente on-chain, y una máquina en una jurisdicción que usted eligió, en lugar de aquella en la que vive el emisor de su tarjeta.

Y la frase para la que existe esta página: elegir un proveedor por lo que se niega a conservar, y luego conservar usted mismo una quincena de lo mismo, es una decisión de privacidad anulada por un archivo de configuración. Las dos mitades no son comparables en esfuerzo. Una le llevó una semana de lectura, la otra le lleva una tarde, y solo una de las dos está terminada.

Una auditoría de una hora de sus propios registros

Nada de lo que sigue necesita una herramienta que tenga que comprar, y cada paso le dice algo que el paso anterior no le decía.

Imprima una sola línea de su propio registro de acceso y léala en voz alta como lo haría un desconocido, campo por campo.
Liste todos los archivos de su directorio de registros y marque los que ha abierto en el último año. Los que queden sin marcar son puro riesgo.
Lea la configuración de rotación y anote el número de días que realmente conserva, no el número que usted recuerda haber aceptado.
Restaure la copia de seguridad del mes pasado en un directorio temporal y busque el registro que cree que se eliminó hace una quincena.
Busque en su registro de acceso las palabras token, reset, key, session y password. Cualquier cosa que encuentre es un secreto que ya se ha escrito en el disco y que hay que rotar, no solo corregir.
Cargue su propia página de inicio con el panel de red del navegador abierto, y anote cada dominio contactado que no sea el suyo. Cada uno es una empresa que retiene a sus lectores bajo su propia retención.
Compruebe qué cabecera lleva la dirección real detrás de su proxy o CDN, y confirme si el origen la registra. Una CDN no impide que el origen registre; solo traslada el campo.
Abra el evento más reciente de su rastreador de errores y cuente cuántos detalles de un lector real aparecen en el payload.
Decida a propósito tres cifras de retención — seguridad, analítica, copias de seguridad — y anótelas donde la próxima persona que toque el servidor pueda encontrarlas.
Redacte el inventario: qué existe, dónde, durante cuánto tiempo, y qué produciría usted si mañana por la mañana llegara una orden válida. Si ese documento resulta incómodo de escribir, es la hora más útil de esta lista.

Preguntas que la gente hace de verdad

¿Cuentan los registros del servidor como datos personales?

Con frecuencia sí, y la dirección es la razón. El Tribunal de Justicia de la Unión Europea declaró en 2016 que una dirección dinámica en poder del operador de un sitio web es un dato personal cuando existe una vía legal para identificar al abonado, y el mismo razonamiento es ya habitual en otros lugares. La consecuencia práctica no es una multa, es una obligación: se le puede preguntar por lo que usted conserva, y lo que conserve tiene que justificarlo.

¿Cuánto tiempo debería conservar los registros de acceso?

El tiempo suficiente para responder a la pregunta que realmente les hace, que para la mayoría de los sitios es “qué ha pasado en el último día o dos”. La quincena por defecto la eligió el mantenedor de un paquete que nunca ha visto su sitio. Elija una cifra, anote por qué, y compruebe que la copia de seguridad no está conservando calladamente una copia durante un año después de que caduque.

¿Debería desactivar el registro por completo?

No, y es la sobrecorrección más habitual. Un servidor sin registros no se puede depurar cuando falla, y no puede avisarle de que lo están atacando mientras ocurre. Truncar la dirección, descartar los recursos estáticos y acortar la ventana elimina casi toda la exposición sin dejar de ser útil el archivo.

¿El alojamiento offshore protege mis propios registros de visitantes?

Los protege de un instrumento notificado a la empresa de alojamiento. No hace nada frente a uno que se le notifique a usted, en el país donde vive, pidiendo lo que usted tenga — y usted tiene el sistema operativo. Cambiar de máquina y cambiar de operador son decisiones distintas, y solo una de las dos es una compra.

¿Basta con truncar la dirección IP?

Es el cambio individual más eficaz, y no basta por sí solo. Un registro al que se le ha quitado la dirección, pero que conserva la marca de tiempo al segundo, la ruta completa y el agente de usuario, sigue permitiendo seguir a un visitante a lo largo de una sesión y, con frecuencia, entre sesiones. Trunque la dirección, después acorte la retención, y la combinación vale más que cualquiera de las dos por separado.

¿Qué ocurre con los registros que guarda mi herramienta de analítica?

Suelen tener una vida más larga y ser más detallados que el registro del servidor, y si la herramienta la aloja otra empresa, están en otra empresa, bajo otra jurisdicción. Una analítica autoalojada, con el enmascaramiento de direcciones activado y una retención que usted fije deliberadamente, responde a la misma pregunta de negocio con una fracción del registro.

¿Importan tanto los registros de errores como los de acceso?

A menudo más, y reciben una fracción de la atención. Un registro de errores recoge las solicitudes que fallaron, que es donde acaban las URL mal formadas, las credenciales escritas a medias y las trazas de pila que contienen datos reales. Es también el archivo con menos probabilidades de tener una retención elegida por alguien.

¿Cuál es el único cambio que merece la pena hacer hoy?

Excluya el directorio de registros de la copia de seguridad, y luego trunque la dirección en el formato de registro. Lo primero evita que una eliminación que ya configuró se deshaga cada noche; lo segundo elimina el campo que hace que el resto de la línea identifique a una persona. Juntas llevan unos veinte minutos, y son las dos cosas que casi nadie hace nunca.

Todos los precios de este conjunto se publican íntegros, en un solo lugar. Ver todo el catálogo

Registros del servidor y privacidadSu proveedor dejó de registrar. Su servidor, no.