Páginas protegidas

Puedes poner una contraseña en cualquier página o post. Los visitantes ven una pantalla de contraseña; los lectores que conocen la contraseña obtienen el contenido. Esta página explica cómo proteger una página, contra qué protege realmente la "protección por contraseña" y las reglas que la acompañan.

Proteger una página o post

En el editor, abre la sección Security:

1. Escribe una contraseña en el campo Set password. La línea de estado te dice si el elemento está actualmente protegido.
2. Guarda.

Para quitar una contraseña, marca Clear password (la opción aparece una vez que hay una contraseña establecida) y guarda. Para cambiar una contraseña, escribe una nueva y guarda: la anterior se reemplaza.

Cómo luce la protección para los visitantes

Una página protegida muestra una pantalla simple: "This content is password protected," con un campo de contraseña y un botón Unlock. Cuando se introduce la contraseña correcta:

• El contenido se revela inmediatamente, sin recargar la página.
• El desbloqueo se recuerda por el resto de la sesión del navegador: si el visitante abre la página de nuevo en esta pestaña, permanece desbloqueada. Una sesión nueva vuelve a preguntar.
• Cada página protegida tiene su propia contraseña: desbloquear una no desbloquea las demás. Si usas la misma contraseña en varias páginas, eso funciona, pero nada se comparte automáticamente entre pestañas.

Qué es la protección y qué no

Esto es importante entenderlo antes de confiar en ella:

• La protección es una pantalla para el lector, no una caja fuerte. El contenido de la página sigue presente en el HTML de la página publicada; la protección es JavaScript que lo oculta hasta que se introduce la contraseña correcta.
• Un lector que conoce la contraseña entra; una persona decidida que inspecciona el código fuente de la página también puede encontrar el texto protegido. Trata la protección como ocultar contenido de lectores casuales, no como una bóveda. Para documentos genuinamente confidenciales, sube documentos privados a través del módulo Documents (los documentos admiten control de acceso real basado en tokens con expiración y límites de descarga).
• Motores de búsqueda: las páginas protegidas se excluyen del sitemap en el que de otro modo aparecerían, lo que las mantiene fuera de las presentaciones de la propia superficie de búsqueda del site, pero el contenido en sí sigue en el código fuente de la página, como arriba.

El contrato del tema

Como la protección la implementa tu tema (el tema predeterminado incluido la trae), solo aparece en las plantillas que la admiten:

• Las plantillas de página y post del tema predeterminado implementan la protección.
• Si desarrollas o instalas un tema personalizado que no envuelve el contenido en la protección, el contenido protegido se renderizará públicamente sin protección visible; el sistema verifica esto y te advertirá cuando una plantilla de la que depende el contenido protegido pierda su protección ("its password gate will stop rendering on the next rebuild"), así que tienes la oportunidad de corregir el tema antes de que aterrice el rebuild.

Manejo de contraseñas bajo el capó (para los curiosos)

• Las páginas almacenan la contraseña como un digest SHA-256 plano; los posts usan un digest PBKDF2 con sal (100,000 iteraciones). La protección incluida verifica ambos formatos en el navegador.
• Los intentos con contraseña incorrecta muestran "Incorrect password." No hay bloqueo en la protección misma: corre enteramente en el navegador del visitante y nunca envía la contraseña al servidor, así que nadie puede atacarla desde tu servidor.
• El estado de desbloqueo vive solo en el session storage del navegador; nada sobre la contraseña persiste en el servidor después de que se crea el hash inicial, y no se almacena nada sobre los visitantes.

Interacción con el resto del site

• Las páginas y posts protegidos se excluyen del sitemap generado, así que no deberían aparecer en motores de búsqueda a menos que se enlacen desde otro lado.
• Los listados, feeds y la búsqueda pública excluyen el contenido protegido de la salida pública, así que no aparecerá en contenido "relacionado" del site.
• La protección funciona igual en cada idioma: cada versión de idioma de la página tiene su propia protección y puede tener su propia contraseña (o compartir una).