Escena Viva ja té routers, controladors i middleware propi. Si la desplegessis avui funcionaria, i també funcionaria qualsevol que li volgués fer mal: no envia capçaleres de seguretat, no controla des de quin origen la criden, no registra les peticions en un format estàndard, no comprimeix res i no impedeix que un script compri les 1189 entrades lliures del catàleg en un bucle de deu segons. En aquesta lliçó muntem el kit mínim: cinc paquets, un més de mencionat, i per a cadascun la mateixa tríada —quin problema resol, com es configura i què passa si no el poses—, tots passats abans pel filtre d'auditoria del mòdul 5.

1. El criteri del mòdul 5 aplicat a cada paquet
2. helmet: capçaleres de seguretat
3. cors: peticions des d'un altre origen
4. morgan: registre HTTP
5. compression: amplada de banda
6. express-rate-limit: límits d'ús
7. cookie-parser: preparant el mòdul 8
8. L'ordre correcte: crearAplicacio() completa

Abans d'escriure npm install, la comprovació que ja saps fer:

Resultat de l'anàlisi per als paquets d'aquesta lliçó:

Que helmet i express-rate-limit tinguin zero dependències és exactament el tipus de dada que buscaves al mòdul 5: menys codi de tercers, menys superfície, menys risc que un mantenidor compromès acabi al teu node_modules. I com sempre, compte amb el typosquatting: els paquets es diuen helmet (no helmetjs), cors (no express-cors) i express-rate-limit (no express-ratelimit). Instal·la'ls amb npm install helmet cors morgan compression express-rate-limit i comprova després amb npm ls --all --parseable | wc -l quant ha crescut l'arbre i amb npm audit si alguna cosa ve amb vulnerabilitats.

Quin problema resol. Els navegadors implementen una desena de mecanismes de defensa que només s'activen si el servidor els demana amb capçaleres; sense elles es comporten de la manera més permissiva possible. N'hi ha prou amb aplicacio.use(helmet()), i aquestes són les capçaleres que apareixen:

Què passa si no el poses: totes aquestes defenses queden desactivades. Cap no és imprescindible per si sola ni substitueix validar l'entrada, però juntes converteixen diversos atacs possibles en impossibles per una línia de codi.

Aquí hi ha el problema pràctic. La CSP per defecte de helmet inclou script-src 'self', cosa que bloqueja tot el JavaScript en línia. Si public/index.html té un <button onclick="comprar('ses-001-1')"> o un <script> amb constants de les sales, totes dues coses deixaran de funcionar i a la consola del navegador apareixerà Refused to execute inline script because it violates the following Content-Security-Policy directive. La reacció instintiva és desactivar la CSP. No ho facis: és l'única capçalera de la llista que de debò atura un XSS. Les sortides correctes, per ordre de preferència: treu el JavaScript en línia a public/app.js i fes servir addEventListener en comptes d'onclick (una hora de feina i arregla el problema per sempre); si algun script en línia és inevitable, fes servir un nonce per resposta; i només com a últim recurs relaxa la directiva concreta, mai la CSP sencera.

API pura sense front-end: si Escena Viva només servís JSON, la CSP seria gairebé irrellevant i podries deixar helmet() per defecte. El conflicte apareix perquè servim public/.

Quin problema resol. El navegador aplica la política del mateix origen: una pàgina només llegeix respostes del seu mateix origen (esquema + host + port).

Quan no coincideixen, el navegador fa la petició però amaga la resposta al JavaScript tret que el servidor ho autoritzi amb Access-Control-Allow-Origin. Compte amb el matís: CORS no protegeix el teu servidor, protegeix l'usuari del navegador; un curl o un script en Node l'ignoren del tot.

Per a peticions «no simples» —qualsevol POST amb Content-Type: application/json, o amb capçaleres personalitzades com X-Id-Peticio— el navegador envia abans un OPTIONS demanant permís:

I només si aquesta resposta autoritza, el navegador envia el POST real. Access-Control-Max-Age és important per al rendiment: sense això, el navegador repeteix l'OPTIONS abans de cada petició.

L'advertiment sobre credentials. Si actives credentials: true, el navegador envia galetes i capçaleres d'autenticació a les peticions entre orígens, cosa que obre la porta que un altre web actuï en nom de l'usuari amb sessió oberta. Tres regles si algun dia ho necessites (mòdul 8): credentials: true exigeix un origen concret, perquè amb '*' el navegador rebutja la resposta; no retornis mai dinàmicament l'Origin rebut sense comprovar-lo contra la llista blanca, perquè això és una llista blanca falsa que accepta tothom; i combina-ho amb galetes SameSite=Lax o Strict i protecció CSRF. Què passa si no el poses: el public/app.js servit des d'un altre port rebrà el clàssic blocked by CORS policy i no veurà ni una resposta. Si en producció el front-end se serveix des del mateix origen que l'API, CORS no cal: és l'escenari més segur.

Quin problema resol. Deixa constància de cada petició en un format estàndard que les eines d'anàlisi saben llegir. A 06-04 vas escriure el teu propi registre; morgan fa el mateix amb formats consolidats i tokens propis.

En producció els registres es consulten amb eines que necessiten JSON per línia, no text llegible; morgan ho permet definint tokens i passant-li un stream propi:

Amb això, morgan substitueix crearRegistrePeticions de 06-04 (conserva el teu si t'agrada més: fan el mateix, i ara entens per dins el de tercers). L'opció skip evita omplir els registres amb els sondejos de salut de l'orquestrador. Què passa si no el poses: quan alguna cosa falli en producció no tindràs ni idea de què va demanar el client, ni quan, ni quant va trigar. Depurar a cegues.

Quin problema resol. El JSON comprimeix extraordinàriament bé: el catàleg complet d'Escena Viva pot passar de 12 KB a menys de 2 KB, i menys bytes és menys temps de càrrega i menys cost de trànsit.

Comprimir el que ja està comprimit gasta CPU i de vegades augmenta la mida. El filter per defecte de compression ja consulta la taula de tipus MIME i evita aquests casos.

En molts desplegaments (mòdul 11) la compressió la fa Nginx o el CDN, no Node. Comprimir a Node funciona en qualsevol desplegament sense configuració externa i és imprescindible si no hi ha proxy al davant; comprimir al proxy allibera CPU del procés i sol portar brotli optimitzat i memòria cau de respostes comprimides, però exigeix control d'aquest proxy.

Regla pràctica: activa-la a Node per defecte; si més endavant mesures que la CPU és el coll d'ampolla i hi ha un proxy al davant, desactiva-la allà, però mai als dos llocs alhora. Per comprovar-la, compara curl -s -H 'Accept-Encoding: gzip' -o /dev/null -w '%{size_download}\n' localhost:3000/api/esdeveniments amb la mateixa crida sense la capçalera. Què passa si no el poses: no es trenca res; simplement envies tres o quatre vegades més bytes dels necessaris a cada resposta.

Quin problema resol. Res no impedeix que un script cridi POST /api/comandes en bucle: amb 1189 entrades lliures al catàleg i una petició cada 20 ms, l'Auditorio Ribera es queda sense aforament en menys de mig minut. També protegeix de la força bruta contra l'inici de sessió del mòdul 8.

En superar-lo, el client rep un 429 Too Many Requests amb RateLimit-Limit: 5, RateLimit-Remaining: 0, RateLimit-Reset: 43 i Retry-After: 43. RateLimit-Remaining li diu quantes peticions li queden i Retry-After quants segons ha d'esperar; un client ben fet les respecta en comptes de reintentar a cegues.

Dues limitacions que has de conèixer ara. Primera: el magatzem per defecte és la memòria del procés, de manera que amb diversos processos (cluster del mòdul 10) o diverses instàncies (mòdul 11) cadascun porta el seu compte i el límit real es multiplica; la solució és un magatzem compartit a Redis (mòdul 10). Segona: depèn de req.ip, que al seu torn depèn de trust proxy; mal configurat, o tots els clients comparteixen la IP del proxy i es bloquegen entre ells, o qualsevol falsifica la seva amb una capçalera. Al mòdul 8 hi aprofundirem amb límits per usuari autenticat, finestres lliscants i retard progressiu. Què passa si no el poses: un sol client pot exhaurir l'aforament, saturar el procés o provar contrasenyes sense límit.

aplicacio.use(cookieParser(configuracio.clauPassarella)) interpreta la capçalera Cookie i deixa les galetes a req.cookies (i les signades a req.signedCookies). Escena Viva encara no ho necessita: l'API és anònima, no hi ha sessió i cap endpoint no depèn de qui ets.

Ho deixem anunciat perquè al mòdul 8 apareixeran les sessions amb Passport i les galetes httpOnly, secure i SameSite, i llavors aquest middleware serà el primer de la llista. Instal·lar-lo ara «per si de cas» seria afegir superfície sense necessitat: la disciplina del mòdul 5 també consisteix a no instal·lar el que no fas servir.

Aquest és el codi final del mòdul, comentat línia a línia. L'ordre no és arbitrari: cada posició té un motiu.

Les set regles d'ordre, per memoritzar-les: identificador primer (tota la resta el referencia); seguretat aviat (que les capçaleres arribin també a errors i estàtics); CORS abans dels límits (l'OPTIONS previ no ha de consumir quota); límits abans del cos (no gastar CPU analitzant el que rebutjaràs); cos abans de les rutes (req.body no existeix si no); 404 després de les rutes (només captura el no atès); i errors l'últim (només veu el registrat abans que ell). I els indicadors registrar i limitar no són cap caprici: al mòdul 9 els posaràs a false perquè les proves no omplin la sortida de registres ni fallin en superar el límit a la petició número 301.

• Desactivar la CSP sencera perquè trenca el front-end. És llençar l'única defensa real contra XSS. Treu el JavaScript en línia a un fitxer o fes servir nonces.
• origin: '*' amb credentials: true. El navegador rebutja la combinació. I si «ho arregles» retornant l'Origin rebut sense comprovar-lo, has construït una llista blanca que accepta tothom.
• Creure que CORS protegeix el servidor. Protegeix l'usuari del navegador; l'autorització de debò arriba al mòdul 8.
• Posar el limitador després d'express.json() (analitzes 100 KB abans de rebutjar) o fer-lo servir amb memòria i diversos processos (amb quatre treballadors el límit real és quàdruple; Redis al mòdul 10).
• Comprimir imatges o vídeo, o comprimir a Node i al proxy alhora. Gastes CPU per no guanyar bytes: deixa el filter per defecte i tria un sol lloc.
• Instal·lar cookie-parser sense fer servir galetes. Superfície de franc: instal·la'l quan el necessitis.
• morgan('dev') en producció. Els codis de color són seqüències d'escapament que embruten els fitxers de registre; fes servir combined o el teu formatador JSON.
• Consell: afegeix npm audit --audit-level=high a l'script comprovar. Cadascun d'aquests paquets és codi de tercers que s'executa a cada petició.

Per als cinc paquets d'aquesta lliçó, construeix una taula amb: versió actual, llicència, data de l'última publicació, nombre de dependències directes i si apareix a npm audit. Decideix justificadament si acceptaries cadascun en un projecte real i quina alternativa buscaries si algun portés dos anys sense publicar.

Configura cors perquè accepti http://localhost:5173 i https://escenaviva.test i rebutgi la resta. Demostra amb curl els tres casos: la petició de verificació prèvia OPTIONS des d'un origen permès (ha de retornar les capçaleres Access-Control-Allow-*), un GET des d'un origen no permès (no ha de portar Access-Control-Allow-Origin) i un GET sense capçalera Origin (ha de funcionar amb normalitat).

Aplica limitCompra a POST /api/comandes amb 5 peticions per minut. Escriu un script que llanci 8 comandes seguides d'1 entrada per a ses-001-1 i imprimeixi l'estat i les capçaleres RateLimit-* de cadascuna. Comprova que les tres últimes retornen 429 amb Retry-After i que el cos respecta el format { error: { codi, missatge, estat } }.

Solució 1

Criteris que hauries d'haver aplicat: llicència permissiva, publicació en els últims 12-18 mesos, poques dependències directes i de mantenidors recognoscibles. Si cors portés dos anys sense publicar, la resposta raonable no és abandonar-lo —és un paquet petit i estable— sinó vigilar les seves incidències obertes i estar disposat a substituir-lo per un middleware propi de vint línies, perquè CORS al final són quatre capçaleres.

Solució 2

El tercer cas demostra el punt clau: CORS és una defensa del navegador, no del servidor.

Solució 3

Sortida esperada: els intents 1 a 5 retornen 201 amb RateLimit-Remaining baixant de 4 a 0; el 6, el 7 i el 8 retornen 429 amb Retry-After: 52. Sense el limitador, tots vuit haurien venut entrada; amb l'aforament de ses-001-1, un bucle sense fre l'exhaureix en segons.

Escena Viva ja surt amb el kit mínim d'una API en producció. helmet afegeix una desena de capçaleres de seguretat per una línia, amb el matís important que la seva CSP obliga a treure el JavaScript en línia del front-end —i aquesta és la solució correcta, no desactivar-la—. cors autoritza public/app.js a cridar l'API des d'un altre origen mitjançant una llista blanca llegida de la configuració, mai amb '*', i ara saps què és una petició de verificació prèvia i per què credentials mereix respecte. morgan registra cada petició en format estàndard i, amb tokens propis, en JSON per línia a punt per al mòdul 11. compression retalla la mida de les respostes quan compensa. I express-rate-limit impedeix que un script exhaureixi l'aforament, amb l'advertiment que el seu magatzem en memòria no sobreviu a diversos processos.

Sobretot, has vist la versió completa de crearAplicacio() amb les set regles d'ordre raonades: identificador primer, seguretat aviat, CORS abans dels límits, límits abans del cos, cos abans de les rutes, 404 després de les rutes i errors l'últim. Però queda un forat molt gran: POST /api/comandes continua fent registrarComanda(peticio.body) amb el que vingui al cos —una quantitat de -5, un sessioId que és un objecte, un correu de 40.000 caràcters—, i cap middleware d'aquesta lliçó no mira el contingut de les dades.

A la lliçó següent, Validació de Dades d'Entrada, tanquem aquest forat: per què no es confia mai en el client encara que el formulari validi, on ha de viure la validació (a la vora, no al domini), els esquemes de zod per a les comandes d'Escena Viva, un middleware genèric validar(esquema, origen) que deixa el resultat a req.dadesValidades —i que respecta que req.query sigui de només lectura—, i com retornar un 400 que de debò ajudi qui crida l'API sense revelar el que no ha de revelar.