Recorrido por un acortador de URL: generación de claves, estado de redirección y controles contra abusos

Objetivo

Convertir una URL larga en una clave corta que redirija de forma fiable, que pueda desactivarse, y que no se convierta en un relé abierto para abusos.

Requisitos previos

Una decisión sobre quién puede crear enlaces (usuarios autenticados, o anónimos con límites) y sobre si un destino puede cambiar después de la creación.

Pasos

1. Restricciones: las redirecciones deben seguir siendo rápidas y estar disponibles incluso cuando la creación esté caída; las claves deben ser cortas pero no enumerables en bloque; cualquier enlace debe ser revocable. Decidir si se cuentan los clics.
2. Componentes: una API de creación; un almacén de claves; un manejador de redirección detrás de una caché; una comprobación contra abusos en la creación (esquema restringido a http y https, el destino resuelve a una dirección pública, consulta a una lista de bloqueo); una ruta de administración que deshabilita una clave y purga la caché.
3. Modelo de datos: link(key, target, owner, created_at, expires_at, disabled_at) con el índice primario en key y uno secundario en owner; opcionalmente click(key, at, referrer_class) escrito de forma asíncrona desde la ruta de redirección.
4. Generación de claves: base62 aleatoria de longitud fija, con reintento ante colisiones (siete caracteres dan 62^7, unos 3,5 billones de claves); un contador codificado en base62 es más corto, pero permite que cualquiera recorra todos los enlaces. Los alias personalizados residen en un espacio de nombres separado con un conjunto de caracteres más estricto y una revisión contra la suplantación.
5. Estado de redirección: RFC 9110 define 301 (Moved Permanently) como una indicación al cliente de que las referencias futuras deberían usar el nuevo URI, mientras que 302 (Found) indica que el cliente debería seguir usando el URI original. Una redirección permanente puede por tanto ser recordada por los clientes y saltarse el servicio, por lo que conviene usar 302 o 307 siempre que importen los conteos o la revocación, y 301 solo para enlaces que nunca vayan a cambiar. Añadir Cache-Control: no-store si se cuentan los clics.
6. Modos de fallo: la caché sirviendo un enlace deshabilitado (invalidar al deshabilitar, TTL corto como respaldo); caída del almacén (una réplica de lectura o una caché en el borde sirviendo entradas obsoletas); destinos de phishing (endpoint de reporte, consulta de reputación, límites de creación por propietario); bucles de vuelta al propio dominio del acortador (rechazar en la creación); enumeración (claves aleatorias, respuestas 404 uniformes, límites de tasa en las consultas).
7. Medir: latencia de redirección en la cola de la distribución, tasa de aciertos de caché, tasa de 404 como señal de enumeración, creaciones por propietario y hora, enlaces deshabilitados por día, tiempo entre el reporte de abuso y la deshabilitación.
8. No construir primero: paneles de analítica, dominios personalizados, códigos QR, vistas previas de enlaces, destinos divididos, claves de API para creación masiva.

Resultado esperado

Una redirección toca como máximo una caché y un almacén, un enlace puede desactivarse en cuestión de segundos, y el abuso queda acotado por los límites de creación en lugar de por la revisión manual.

Límites y base de verificación

Diseño propuesto, sin mediciones. La elección entre 301 y 302 es difícil de revertir una vez que los clientes han almacenado en caché redirecciones permanentes, por lo que debe tomarse antes del lanzamiento.