Javascript on Blog de Sergio Comerón

El mayor ataque a npm no me ha rozado, y no fue por previsión

Wed, 05 Aug 2026 13:00:00 +0200

Ayer alguien robó las credenciales del mantenedor de keyv, una librería de caché con unos 127 millones de descargas semanales, y con ese acceso publicó versiones envenenadas de todo lo que ese mantenedor tocaba.

El resultado, según el análisis de Microsoft: más de 400 paquetes comprometidos, y contando las versiones, más de mil trescientas. Entre ellos flat-cache y file-entry-cache, que suman por sí solos más de mil millones de instalaciones al mes porque cuelgan de ESLint, que cuelga de casi todo. En total, del orden de dos mil millones de instalaciones mensuales afectadas.

Moodle ha elegido React, y mi plugin va detrás

Mon, 15 Jun 2026 09:00:00 +0200

Llevo tiempo con una idea rondándome: modernizar el frontend de mi plugin de Moodle. Hoy genera HTML en el servidor y recarga la página para cualquier cosa. Quiero que la interfaz reaccione —que cambie sola cuando cambian los datos, sin recargar—.

El primer paso ya lo di, y lo conté en el episodio del podcast «Datos, no comportamiento»: el servidor dejó de fabricar páginas y pasó a exponer datos a través de Web Services. Ese es el cimiento. Lo que faltaba era decidir quién pinta esos datos en el navegador. Y la respuesta, esta vez, no la pongo yo: la ha puesto Moodle.

Cómo sé qué se lee en mi blog sin Google Analytics ni cookies

Sun, 14 Jun 2026 00:00:00 +0200

El post más leído de este blog es el de cómo me autoalojo en un Mac mini. Lo sé con certeza. Y lo sé sin Google Analytics, sin una sola cookie y sin entregar los datos de mis lectores a una empresa de analítica.

Lo sé porque la analítica de este sitio me la monté yo, y cabe en un beacon de veinte líneas, un fichero de texto y un panel que solo veo yo. Va de eso este post.

Deuda técnica, parte 4: creía que había terminado… y quedaba el último que recargaba la página entera

Sun, 07 Jun 2026 18:30:00 +0200

Le he cogido el vicio y no podía parar. Así que, aprovechando que es domingo, me senté a rematar otro fleco del plugin. Y salió esto.

En la tercera parte cerré diciendo que el gran refactor estaba hecho: external.php, lib.php, la videollamada y view.php. Y lo estaba… casi. Porque al refactorizar view.php dejé, a propósito, un fleco para más tarde: la tabla de grabaciones. Era el último rincón del plugin que seguía haciendo las cosas como en 2015 —recargar la página entera cada vez que borras, ocultas o añades una grabación— y con todo el HTML de cada fila cosido a mano.

Deuda técnica, parte 3: refactoricé una vista de 1.000 líneas… y debajo había una consulta escaneando toda la tabla de logs

Sun, 07 Jun 2026 12:00:00 +0200

Tercera y última parte de la serie de deuda técnica en mi plugin de Jitsi para Moodle. En la parte 1 troceé dos “archivos-dios”; en la parte 2 desmonté la función de 924 líneas de la videollamada. Quedaba el último monstruo: view.php, la página que ve el alumno o el profesor al entrar en la actividad. 971 líneas que lo mezclaban todo.

La refactoricé con la receta de siempre. Pero esta vez el refactor en sí es lo de menos —es el mismo patrón de las partes anteriores—. Lo interesante fue lo que apareció al levantar las alfombras: una consulta escaneando la tabla de logs de todo el sitio, un caché que la tapaba, un N+1, un bug que dejaba grabar y emitir a la vez, y un par de “cápsulas del tiempo” enterradas en el código.

Deuda técnica, parte 2: "mover no era mejorar", así que esta vez lo desmonté de verdad

Sat, 06 Jun 2026 19:00:00 +0200

En la primera parte os dejé en el peor momento posible: con una lección a medio cumplir. La moraleja de aquel post era “mover no es mejorar”, y la ilustré con mi peor pieza de código —una función de casi 924 líneas que genera la videollamada— a la que hice justo eso: moverla de sitio sin tocarla por dentro. Seguía ahí, intacta, escupiendo HTML y unas 600 líneas de JavaScript concatenado a mano. Prometido quedaba arreglarla “más adelante”.