Integridad de Subrecursos (SRI).

La Integridad de Subrecursos, estandarizada como Recomendación del W3C en 2016, se configura con el atributo integrity en etiquetas script o link que contiene uno o varios resúmenes SHA-256/384/512 codificados en base64 del archivo esperado. El navegador descarga el recurso, recalcula el resumen y se niega a ejecutarlo o aplicarlo si ninguno de los hashes listados coincide; varios hashes separados por espacios permiten que una página acepte distintas versiones válidas conocidas. Dado que SRI exige conocer de antemano los bytes exactos, protege activos estáticos con versión fijada en lugar de los generados dinámicamente.

SRI es la principal defensa del lado del cliente frente al compromiso de una CDN y a los scripts de terceros secuestrados, como la familia Magecart. El ataque a Polyfill.io demuestra por qué importa: después de que un nuevo propietario adquiriera el dominio cdn.polyfill.io en febrero de 2024, la CDN empezó a servir cargas útiles que redirigían a los usuarios móviles a sitios fraudulentos —descubierto por Sansec el 25 de junio de 2024 y afectando a más de 100.000 sitios (registrado como CVE-2024-38526)—. Cualquier página que hubiera fijado un hash integrity habría bloqueado de inmediato el archivo alterado, porque el resumen ya no coincidía.

SRI funciona junto a CSP y el atributo crossorigin, y debe combinarse con la fijación de versiones y la regeneración automatizada de hashes en la canalización de compilación para que el código y el resumen nunca se desincronicen.

flowchart TD
  A["El navegador analiza la etiqueta<br/>con atributo integrity"] --> B[Descargar recurso de la CDN]
  B --> C[Calcular resumen SHA-256/384/512]
  C --> D{¿El resumen coincide con<br/>un hash listado?}
  D -->|Sí| E[Ejecutar / aplicar recurso]
  D -->|No — manipulado o sustituido| F[Bloquear y lanzar error]