Un Sitio Estático No Tiene Por Dónde Entrar
Este blog se construye con Hugo y se sirve como 6 343 ficheros planos, sin que ningún código mío se ejecute en ninguna petición. Frente a él, un WordPress 7.1.3 de serie medido en un laboratorio de podman: 133 rutas REST, 62 de ellas aceptan escrituras, 80 métodos XML-RPC, 1 514 ficheros PHP, cada uno de sus 3 785 ficheros escribible por el propio usuario del servidor web, y una cuenta de base de datos con todos los privilegios. Este post cuenta las dos superficies de ataque, explica qué hace el modelo de seguridad de Hugo durante la construcción, reconoce adónde se va el riesgo cuando ya no se ejecuta nada al servir, incluidos dos huecos en cómo se construía este sitio, uno de ellos ya cerrado, y explica cómo construir un sitio estático sin conexión, una sola vez, y subir solo los ficheros terminados.