PublicSuffix: Cookies entre dominios

Cuando un sitio web entrega una cookie a un navegador, la puede asociar al propio sitio web donde está navegando, o a un conjunto más amplio. Por ejemplo, si entro a www.mibanco.cl, la cookie también podría ser válida para clientes.mibanco.cl, permitiendo compartir la información entre lugares relacionados.

El problema es que esto puede dar lugar a abusos y fuga de información si no está bien definido el alcance de cada nivel de nombre de dominio.

Quizás mibanco.cl tiene derecho a entregar cookies "*.mibanco.cl" porque en .cl la división de responsabilidad de dominios es al segundo nivel. Pero qué pasa si mibanco.cl quiere entregarme una cookie para "*.cl"? Eso sería un error gigantesco, porque mi navegador ofrecería la cookie a cualquier dominio .CL !

Afortunadamente los navegadores tienen medidas de seguridad para impedir esto, y en un esfuerzo que partió con Mozilla pero que ya incluye a Firefox, Chrome y Opera; se creó la "Public Suffix List". Se trata de una lista de los "sufijos de dominios" que son divisiones administrativas, indicando que sitios con el mismo sufijo corresponden a instituciones distintas. Esto es más claro en TLD's donde hay divisiones al tercer nivel, como Perú, donde .com.pe es un sufijo que denota división y no está permitido compartir cookies entre ellos.

En Chile tenemos el .CL directo en segundo nivel, pero en una mirada más cuidadosa, hay algunas excepciones. Por ejemplo, existe un proveedor de Internet que mantiene el subdominio ".co.cl", donde da servicio de hosting y registro de nombres en tercer nivel. Y si no se registra esta división en PublicSuffix, podría ocurrir por ejemplo que el sitio www.hoteleldorado.co.cl (un Hotel en Concepción) puede poner una cookie para "todos los subdominios de co.cl", y al visitar www.eclipse.co.cl (sitio de venta de moda joven en Santiago) la estaría compartiendo!

Como este caso, puede haber muchos más. El gobierno de Chile decidió que por razones de seguridad no quería compartir cookies entre sus sitios, por lo que voluntariamente agregaron gob.cl a esta lista.

La lista también tiene otros usos que han surgido a través del tiempo. Por ejemplo, algunos navegadores lo usan para restringir los valores de la variable "document.domain" del DOM en HTML, ordenar adecuadamente la historia de downloads, verificaciones de certificados SSL, etc.

Para conocer la lista y tener información de cómo actualizarla: http://www.publicsuffix.org