Por Ignacio de Miguel el 13 Julio 2009

down-wpHacer que Facebook se replantee la oportunidad de cambiar las condiciones de usuario puede parecer un éxito, una muestra de poder por parte de una masa de usuarios. Pero eso es marketing, esos mismos usuarios que se negaban a aceptar las nuevas condiciones de uso no sabían en su mayoría ni cuáles eran las anteriores ni cuáles eran las nuevas, y por supuesto no iban a dejar de usar la aplicación. De toda formas creo que la red social conseguirá su propósito por otro camino.

Y ahora me planteo algo un poco más radical, ¿podemos hacer un paralelismo con otro caso que pueda suponer la ruina de una empresa si no hace caso al usuario o si hace lo contrario de lo que los usuarios esperan sin capacidad de reacción?

Acordémonos de Movable-Type cuando decidió que la mejor manera de hacer negocio era hacer que todo el mundo pasara por caja después de haberles regalado el software que usaban. Por dinero o por traición, pero su cuota de mercado disminuyó más de lo que hubieran imaginado nunca.

Ahora esa cuota de mercado (y un poco más) la tiene Wordpress y la empresa que lo sostiene, Automattic, está ganando mucho dinero con la consultoría y la implementación de soluciones basadas en Wordpress, tanto que se ha dedicado a comprar algunos de los servicios más interesantes que se crearon a su alrededor.

Nosotros mismos estamos utilizando Wordpress como aplicación para diversos usos diferentes de un blog por su versatilidad y plugins existentes. Pero los problemas de seguridad empiezan a ser demasiado graves. La frase  “Actualiza a WordPress 2.8.1 por seguridad” o similar que yo vanamente esperaba que desapareciera después de la versión 2.8.0 ha vuelto, o mejor dicho, en realidad nunca se fue.

Todos las aplicaciones tienen incidencias de seguridad, y cuánto más se usan más personas localizan fortuitamente o de manera intencionada los puntos débiles para ser utilizados por los spamers de enlaces en internet. No seré yo quien diga de quién es la culpa, pero la realidad es que empieza a ser insostenible.

Actualizar a la última versión de WP, no siempre posible, no es garantía de que los plugins que estamos utilizando no sean vulnerables. Y tampoco podemos siempre aplicar medidas colaterales para que las vulnerabilidades no puedan ser aprovechadas.

Creo que el negocio de Automattic debería dar un giro que procurara limitar las vulnerabilidades tanto propias como de los plugins que se desarrollan y que la propia empresa relaciona y permite descargar asignándoles una confianza en materia de seguridad que probablemente no se han ganado.

Enlazando con el título de este artículo, ¿podrán los usuarios presionar al equipo de desarrollo de Wordpress para que intervenga seriamente en este asunto? O mejor dicho, ¿querrán los usuarios presionar para conseguirlo? ¿Son los usuarios de WP lo suficientemente maduros como usuarios de software para ejercer esta presión (presupongo que deberían)? ¿Es desmedido por mi parte pedir que Automatic se haga corresponsable de la seguridad de los plugins de otros ya que ellos han establecido la forma en que deben desarrollarse?

La licencia de Wordpress dice que la aplicación se entrega “tal cual”, es decir, allá cada cual si la usa (la licencia GPL es perversa pero no por esto). Y cualquier empresa puede realizar consultoría sobre Wordpress, no sólo sus creadores. ¿Deberíamos también nosostros ser corresponsables de la seguridad de la aplicación y los plugins que permiten que hagamos negocio?

Asumiendo que nadie tiene la culpa y nadie tiene por qué hacer nada al respecto, ¿es hora de que algún valiente desarrolle un nuevo CMS para blogs (y mucho más) con la intención de quedarse con parte de la cuota de mercado de Wordpress a costa de sus vulnerabilidades de seguridad, generando un nuevo negocio empresarial a su alrededor?

Es más, ¿no es una buena oportunidad para una empresa añadir a su negocio el servicio de verificación y certificación de plugins para WP.  Por una pequeña cuota anual, los usuarios podrían acceder a un repositorio de plugins verificado y certificado por esta empresa independiente. Y por un poco más, un segundo repositorio con plugins parcheados para evitar incidencias de seguridad. Y por un poco más te revisan cualquier plugin que no esté en los repositorios anteriores. Si alguien se decide a montarlo que nos lo cuente.