Preguntas frecuentes sobre Mork

Mork es un acortador de URL gratuito hecho por un equipo pequeño al que le importa la seguridad. Lo diseñamos desde el lado de quien lo usa, cuestionamos nuestras propias suposiciones como lo haría un intruso y, cada cierto tiempo, invitamos a gente de la comunidad de seguridad taiwanesa a hacer pruebas de intrusión para poder arreglar lo que encuentren.

El equipo es pequeño y mantiene el servicio con el tiempo que le sobra de sus trabajos. Cuéntanos qué te parece, para bien o para mal: lo leemos todo, y preferimos saberlo a no saberlo.

Mork acorta URL, y además aloja imágenes, vídeos y audio. Todo funciona sin cuenta.

• Protección por contraseña: el visitante tiene que escribir la contraseña correcta para que aparezca el contenido.
• Caducidad: cuando vence el plazo, el enlace deja de funcionar por sí solo.
• Límite de visitas: pon un tope de cuánta gente puede verlo. Una misma persona que vuelva a abrirlo no cuenta dos veces, y el enlace se cierra solo al llegar al tope.
• Panel de gestión: visitas, procedencia, países y dispositivos de cada enlace que hayas creado.

Hay guías paso a paso para enlaces cortos, imágenes, vídeos, audio y el panel de gestión.

La protección se reparte en tres puntos —la subida, el almacenamiento y el momento en que alguien abre el enlace— en lugar de descansar solo en una contraseña:

• El enlace corto se crea solo después de que el archivo haya llegado. El servidor comprueba que el archivo está realmente en el almacenamiento y que su tamaño y su tipo son los que deberían ser antes de entregar una URL. Una subida interrumpida no puede dejar atrás un enlace que no abra nada.
• Solo se aceptan formatos que el navegador pueda tratar con seguridad. SVG se rechaza siempre: por debajo es XML y puede llevar un script que, al abrirlo, se ejecutaría bajo el dominio del almacenamiento.
• El nombre del archivo no decide dónde se guarda. La ruta sale de un identificador aleatorio que genera el sistema. Del nombre que envías solo se toma la extensión, y antes se depura.
• El tamaño se mide en el servidor. No se confía en la cifra que informa el navegador, y todo lo que pase del límite se borra sin más.
• La URL de subida está atada a un solo tipo de archivo y caduca. No se puede reutilizar para escribir otro tipo de contenido, y su duración crece con el tamaño del archivo, para que una subida grande no caduque a medio camino.
• Acortar una URL nunca hace que el servidor la visite. Solo se inspecciona la dirección en sí —no se envía ninguna petición al destino— y se rechazan las URL que apuntan a rangos privados o reservados, de modo que un enlace corto no puede convertirse en un ataque contra la red donde esté quien haga clic.
• La protección por contraseña se apoya en una verificación antibots. Varios intentos fallidos seguidos la vuelven a activar, lo que detiene los intentos automatizados.
• Todo viaja por HTTPS, y la caducidad, el límite de visitas y el acceso solo para miembros reducen el alcance del daño si un enlace se filtra.

Algo que conviene dejar claro: las contraseñas de los enlaces se guardan hoy en texto plano, para que puedas consultarlas en la página de gestión si las olvidas. No reutilices una contraseña de ningún otro sitio.

Las fotos de un móvil o una cámara suelen llevar un bloque de metadatos llamado EXIF. Puede contener las coordenadas GPS del lugar donde se hizo la foto, la marca y el modelo del dispositivo y la hora. Algunos editores añaden encima campos XMP, como el nombre del autor. Comparte la foto tal cual y entregas todo eso con ella.

Mork lo elimina todo antes de que la imagen salga de tu ordenador. La limpieza ocurre en tu navegador, así que lo que llega al servidor ya es la versión sin esos campos: el archivo original no abandona tu dispositivo en ningún momento.

• JPEG, PNG y formatos similares se vuelven a codificar, y eso se lleva por delante EXIF, GPS y XMP.
• El GIF sigue otro camino. Una animación no sobrevive a una recodificación —solo quedaría el primer fotograma—, así que en su lugar se quitan uno a uno los bloques que no tienen nada que ver con la imagen, y la animación, los tiempos de cada fotograma y el número de repeticiones se conservan intactos.

Todavía no se eliminan los metadatos del vídeo y el audio subidos directamente, y una grabación hecha con el móvil puede llevar coordenadas GPS igual que una foto. El vídeo tiene otra vía: pulsa Editar antes de subirlo y, al guardar, se vuelve a codificar el clip entero, y durante ese proceso la ubicación y los datos del equipo desaparecen con él. Si no piensas editarlo y la ubicación importa, borra antes los metadatos con otra herramienta, o desactiva el etiquetado de ubicación al grabar. El audio todavía no tiene equivalente. Preferimos decirte dónde estamos realmente antes que dejar que des por hecho que estás cubierto.

No hace falta cuenta. Acortar una URL y subir imágenes, vídeo o audio funciona de inmediato, sin correo electrónico, sin número de teléfono y sin ningún otro dato que te identifique. Los enlaces que creas se recuerdan en este navegador, aparecen en la barra lateral y se pueden borrar con un clic.

• Los códigos cortos son aleatorios. La URL no revela nada sobre cuándo ni en qué orden se creó, y recorrerlos uno a uno no encontrará los enlaces de nadie más.
• Las visitas se cuentan por persona. Un mismo visitante que vuelva a abrir el enlace no suma al total, así que la cifra refleja a cuánta gente llegaste de verdad.
• Las contraseñas que se recuerdan en la página de creación caducan. En un ordenador compartido, la tuya no se queda ahí para la siguiente persona.
• El historial de la barra lateral se desvanece solo. Si pasas suficiente tiempo sin volver, deja de listar nada, así que no queda rastro en un dispositivo que ya no es tuyo.

Para poder dar a quien subió algo unas cifras básicas —visitas, procedencia, países, tipos de dispositivo—, el sistema guarda los registros de visita que necesita para ello. Qué se recoge y cuánto tiempo se conserva está detallado en la política de privacidad.

Los archivos subidos sin cuenta se conservan hasta 30 días. Inicia sesión y podrás conservarlos indefinidamente.

• Al crear el enlace puedes elegir un plazo más corto: desde un minuto hasta 30 días.
• Sin cuenta, 30 días es la opción más larga del menú, y también la que viene marcada si no eliges.
• Al iniciar sesión, el menú añade la opción «♾️ Para siempre»; si la eliges, el enlace no caduca por sí solo.
• Los enlaces cortos simples no están sujetos a este límite. No ocupan almacenamiento, así que uno creado de forma anónima sigue siendo válido indefinidamente.

Cuando vence el plazo, el enlace deja de funcionar al instante y nadie puede abrirlo, sea como sea que haya llegado a la URL. También puedes borrarlo a mano en cualquier momento desde la página de gestión, con el mismo efecto inmediato.

Para ser exactos sobre qué caduca: caduca el enlace. El archivo permanece en el almacenamiento, porque todavía no hay un borrado automático; es una función que aún estamos construyendo. Hasta que exista, trata el no subir algo como tu primera línea de defensa, en lugar de confiar en borrarlo después. Si necesitas que retiremos algo a mano, dínoslo por el formulario de comentarios.

Sin cuenta dispones de todas las funciones de creación y gestión. Iniciar sesión —con Google, gratis y sin ningún registro aparte— añade lo siguiente:

• Conservar los archivos indefinidamente: las subidas anónimas duran 30 días como máximo; con la sesión iniciada puedes no poner plazo alguno.
• Más archivos por subida: las imágenes pasan de 5 a 10 y el audio de 2 a 3. El vídeo sigue siendo uno.
• Marcas de agua automáticas en las imágenes: el texto que elijas se dibuja sobre la imagen mientras se sube.
• Uso compartido solo para miembros: el visitante tiene que iniciar sesión para que se abra tu enlace.
• El historial completo, y la búsqueda: sin cuenta, la página de gestión solo muestra tus 10 registros más recientes; con la sesión iniciada puedes recorrerlos todos y buscar por código corto o por la nota que guardaste.
• Los registros van con la cuenta: sin cuenta están ligados a este navegador, así que borrar las cookies o cambiar de dispositivo los pierde, y con ellos la posibilidad de cambiar la contraseña, ajustar el límite de visitas o borrar el enlace. Con la sesión iniciada, te acompañan.

Cada uno de estos puntos se explica en detalle en Funciones para miembros.

Sí, y no hay que instalar nada. Elige un archivo en la página de imagen o de vídeo y aparecerá un botón Editar junto a él; púlsalo y el editor se abre dentro de la página.

• Imágenes: recortar, girar, filtros, brillo y contraste, anotaciones con texto y flechas, pegatinas de emoji y censura.
• Vídeo: recortar las partes que no quieres, encuadrar, aplicar filtros y ajustes, y añadir anotaciones. El resultado es MP4.

Toda la edición ocurre dentro de tu navegador. El archivo no se envía a ningún otro servicio para editarlo; hasta que pulsas subir, no ha salido de tu dispositivo.

Cuando censuras algo, esos píxeles se destruyen antes de escribir el archivo: no es una capa puesta encima que alguien pudiera levantar después. Como lo que suele haber que tapar es un nombre de cuenta, una matrícula o una dirección, esa diferencia importa.

El editor de vídeo ocupa alrededor de 1,4 MB de descarga, y al guardar se vuelve a codificar el vídeo entero, lo que en un clip largo puede tardar varios minutos; por eso, la primera vez que lo abres te lo explicamos antes de que te comprometas. Necesita un navegador compatible con WebCodecs; donde no lo hay, el botón Editar no aparece.

Tenemos una página de Facebook y puedes escribir al equipo desde ahí. Las preguntas son bienvenidas, y las propuestas de colaboración de cualquier tipo también.

Para cualquier cosa relacionada con el servicio, usa el formulario de comentarios o escríbenos. Si tu aviso es sobre un enlace protegido con contraseña, inclúyela: sin ella no podemos abrir el enlace para comprobarlo.

Mork busca socios y agradece propuestas de cualquier tipo. Las colaboraciones y los servicios técnicos que ya están en marcha se describen en Socios.

Para hablarlo, escríbenos por cualquiera de los canales de la respuesta anterior.