Reddit decidió que el HTML común no es seguro

• Reddit empezó a exigir inicio de sesión porque considera que el uso de Old Reddit sin sesión iniciada es una fuente principal de scraping malicioso y tráfico automatizado, pero New Reddit sigue siendo accesible sin iniciar sesión
• Old Reddit entrega publicaciones y comentarios mayormente como HTML común, descargando alrededor de 1 MB y enviando 0.5 MB, mientras que New Reddit, que requiere JavaScript, carga cerca de 5 veces más datos
• En un experimento limitado con navegador, New Reddit también pudo recibir texto de comentarios usando solo algo de JavaScript y solicitudes a la API de comentarios, por lo que no se ha confirmado si este cambio realmente bloquea el scraping
• Old Reddit carga 200 comentarios desde el inicio, pero New Reddit solo carga 25 y, aun después de hacer scroll, llega a unos 35; queda claro por qué un scraper preferiría el Old Reddit, más conciso
• En vez de apelar a una noción vaga de “seguridad”, Reddit debería haber declarado directamente si el objetivo era reducir el scraping o retirar el servicio; forzar el inicio de sesión crea una barrera innecesaria para quienes quieren leer resultados de búsqueda escritos por personas

---

Reddit y los resultados de búsqueda escritos por personas

• Reddit aloja muchísimos foros populares y es vista como una empresa que extrae el máximo valor posible de comunidades creadas por sus usuarios
• A medida que los datos generados por humanos en la era de los LLM adquirieron más valor, las publicaciones de las comunidades de Reddit se volvieron un activo aún más importante
• La antigua controversia por la API de Reddit también se entiende como un caso en el que la empresa intentó recuperar valor de la comunidad
• Agregar site: reddit.com a una búsqueda facilitaba encontrar resultados escritos por personas reales, así que, aunque uno no usara Reddit activamente, los resultados de búsqueda seguían valiendo la visita

El requisito de iniciar sesión en Old Reddit

• old.reddit.com es el frontend que ofrece el diseño anterior de Reddit, pero ahora es difícil usarlo correctamente sin iniciar sesión
• La minoría de usuarios que usa Firefox y NoScript ha vivido repetidamente cómo productos que funcionaban bien dejan de ser compatibles
  • Un teléfono de 8 años y una tablet de 10 años dejaron de poder usarse porque el sistema operativo era antiguo
  • También se discontinuó la API que usaba la app de Stack Exchange, después de que desapareciera de las tiendas de apps
• Reddit presentó esta medida como algo necesario para “mantener Reddit seguro”, pero no queda claro qué amenaza representa para la plataforma un usuario que quiere acceder a conocimiento

El problema de scraping según Reddit

• Según el anuncio oficial de Reddit, el uso de Old Reddit sin iniciar sesión es una fuente principal de scraping malicioso y tráfico automatizado
• Como New Reddit sí se puede acceder sin iniciar sesión, queda la duda de por qué solo se restringe Old Reddit
• Un comentario relacionado plantea que las formas de tráfico malicioso cambian constantemente, generando un ciclo de bloqueo y evasión; la detección posterior es fácil, pero el bloqueo preventivo es difícil
• Surgió la interpretación de que Old Reddit no cuenta con una pila de seguridad moderna, lo que dificulta responder al tráfico automatizado, y un administrador de Reddit respondió remitiéndose a esa explicación

Cómo funciona Old Reddit y cuánto transfiere

• Tras iniciar sesión e inspeccionar el hilo del anuncio, se observó que Old Reddit entrega el contenido de usuarios mayormente como HTML común
• Salvo al cargar comentarios adicionales, la página puede leerse sin JavaScript
• La página medida descargó alrededor de 1 MB y envió 0.5 MB, y la mayor parte de la respuesta era HTML
• La respuesta tardó unos 2 segundos y fue alrededor de 4 veces más lenta que GitHub para ese tamaño
  • No se confirmó si fue por límites de velocidad o porque Reddit es lento de por sí
• Las solicitudes de comentarios adicionales fueron concisas y rápidas, y no se detectó ningún problema de seguridad evidente distinto al de una página web común

La dependencia de JavaScript en New Reddit

• Sin JavaScript, New Reddit casi no carga contenido más allá de la publicación
• La carga total fue de unas 5 veces la de Old Reddit; el experimento no intentó eludir un sistema de seguridad específico, sino dejar solo las solicitudes mínimas necesarias para obtener el contenido en el navegador
• Incluso permitiendo solo las siguientes solicitudes, la página en sí cargó
  • www.redditstatic.com/js/concat
  • www.reddit.com/svc/shreddit/more-comments/
  • www.reddit.com/svc/shreddit/comment/
• Al aplicar el filtro, el botón para cargar más comentarios quedaba cargando indefinidamente, pero la respuesta real de la solicitud contenía texto de comentarios
• Como basta con ejecutar el JavaScript de la página y enviar las solicitudes necesarias para recibir información de comentarios, no está claro si ejecutar JavaScript es una barrera central contra los scrapers

CAPTCHA y envío de acciones del usuario

• Al recargar la página varias veces y cargar comentarios y respuestas, la mayoría de las veces no hubo fallas
• En una prueba en la que se desactivó el filtro de solicitudes, se produjo una redirección y se enviaron campos de CAPTCHA como parámetros de consulta, pero no se logró reproducir el mismo fenómeno
• Tampoco se confirmó si aparece un CAPTCHA al llamar repetidamente de forma directa a la API de comentarios
• New Reddit envía a Reddit señales de heartbeat cada vez que el usuario hace scroll o mueve el cursor

Límites del efecto contra el scraping

• Más que un problema de seguridad del frontend en sí, la medida parece buscar dificultar el scraping de datos valiosos generados por usuarios de Reddit
• Esto no demuestra que New Reddit siga pudiendo scrapearse, y es posible que el trabajo sea más difícil que con Old Reddit
• La razón por la que los scrapers prefieren Old Reddit es que la página es concisa y carga muchos comentarios desde el inicio
  • Old Reddit carga 200 comentarios desde el principio
  • New Reddit carga solo 25 al inicio y, al hacer scroll, aumenta automáticamente hasta unos 35
• New Reddit reemplazó la interfaz anterior, centrada en HTML común, por una estructura unas 5 veces más pesada que depende de componentes web y otros elementos, lo que hace que el navegador reciba más datos y realice más trabajo
• Puede que aumentar la carga del navegador también haya elevado el costo del scraping, pero no se ha confirmado su efecto real de bloqueo

Rechazo al argumento de la “seguridad”

• Si Reddit hubiera aplicado silenciosamente respuestas 30X o 40X a old.reddit.com, o hubiera dicho que lo eliminaba porque tenía pocos usuarios, habría sido una decisión desagradable pero predecible
• Lo que generó mayor rechazo fue quitar una forma de acceso que funcionaba correctamente con una justificación vaga de seguridad y scraping, no directamente relacionada con los usuarios reales
• En casos como Anubis, donde la necesidad es comprensible, existe disposición a activar JavaScript; el problema central no es JavaScript en sí, sino la discrepancia entre la explicación y la medida
• Los blogs personales también ofrecen texto como HTML común, al igual que Old Reddit, pero se diferencian del contenido generado por usuarios de Reddit en que originalmente son contenido del propio operador

Opciones restantes y preocupaciones

• Es posible iniciar sesión, pero persiste el malestar por verse obligado a hacer un trámite que antes era innecesario
• Quizás haya que usar New Reddit, y tampoco se sabe si Reddit seguirá manteniendo soporte para Old Reddit
• Existe la preocupación de que, si Reddit lo considera viable, en el futuro también pueda bloquear el acceso a New Reddit sin iniciar sesión
• Se prefiere una Internet donde se pueda buscar y leer directamente texto escrito por humanos, en vez de un entorno en el que haya que pasar por LLM enormes y costosos para leer escritos reales de personas
• La discusión relacionada también se publicó en Lobste.rs

[GN⁺]

Opiniones en Lobste.rs

• El mejor ejemplo de la enshittification de las redes sociales es la transición del Reddit antiguo al Reddit nuevo. La versión antigua está obsoleta, pero es rápida y sin adornos; puede cargar decenas de respuestas sin cargar el navegador, y con herramientas como RES o Toolbox se pueden mejorar sus incomodidades.
  Cada pocos meses vuelvo a probar la versión nueva, pero aun después de casi 15 años desde que me registré, me cuesta acostumbrarme. Dos barras laterales enormes ocupan espacio, abrir una publicación es lento y confuso, y a veces, al cargar bloques de comentarios, la página se recarga y se pierde el contexto.
  Tiene cosas buenas, como publicar imágenes, votar y nuevas herramientas de moderación, pero aun así sigo usando la versión antigua. Tampoco parece probable que la empresa vuelva a priorizar la comodidad de los usuarios, y es una mala señal que su postura de dar soporte indefinido a la versión antigua se haya debilitado recientemente a “no por ahora”.

  • La web de antes y el Reddit antiguo, con muchas comunidades sociales y pequeñas, han seguido deteriorándose. Si también cierran Old Reddit, los usuarios que quedaban se irán o borrarán sus cuentas, lo que acelerará aún más el declive, y yo sin duda seré uno de ellos.
    /r/rust, donde participo con frecuencia, también tiene muchas probabilidades de derrumbarse al perder a la mayoría de sus moderadores y usuarios veteranos. A medida que Rust maduró y se volvió demasiado mainstream, la calidad también cayó mucho respecto de hace 10 años. El Reddit nuevo encaja mejor con la dirección que quiere la empresa, pero para la web de antes es un producto totalmente distinto y sin futuro.
  • Aunque cueste creerlo, también uso Old Reddit en móvil. Aunque el texto sea pequeño, es mucho más rápido.
  • Decir que es el peor caso es una evaluación atrevida. Facebook, que metió contenido para provocar indignación política y contenido de baja calidad generado por IA en el feed donde uno veía novedades de amigos y familiares, también debería estar entre los primeros.
  • En general, la pantalla de escritorio del Reddit nuevo hace más difícil entender el contenido. También se volvió más difícil hojear títulos interesantes o ver qué es relevante.

• El problema central es que el texto promocional no dice “para reducir la carga de scraping en el servidor”, sino “por seguridad”. Hoy la carga por scraping es una preocupación bastante válida para quienes operan sitios web, y aunque el resto sea una molestia legítima, está algo alejado del problema inmediato.
  La app de luces Philips Hue también mostró durante años un banner diciendo que, “por seguridad”, pronto no se podrían controlar las luces sin una cuenta. La verdadera seguridad es mantener todas las comunicaciones dentro de mi red, no traer servidores externos y sistemas de autenticación externos para controlar dispositivos de la red doméstica. Por suerte, hasta ahora solo quedó en advertencia y sigue funcionando bien sin cuenta.

  • Ahora empecé a leer “por seguridad” como “por la seguridad de nuestro negocio”.
  • Creo que bloquear bots claramente entra dentro del trabajo de seguridad, así que no estoy muy seguro de que esa expresión sea incorrecta.
  • Harto de la supuesta seguridad de Hue, al final me pasé a una combinación de Raspberry Pi, dongle deCONZ y Node-RED/Homebridge, y desde entonces no me arrepiento en absoluto.
  • La pantalla de inicio de sesión dice “por tu seguridad” y el texto promocional dice “por seguridad”, pero el significado real es impedir el scraping para proteger a Reddit mismo. Incluso si uno intenta verificar la base de que el Reddit nuevo es más difícil de scrapear, al final lo único que queda es que es una app web compleja.
    Me dan pena los sitios pequeños afectados por scrapers, pero Reddit no me genera mucha simpatía. Si Google y otros pagaron sumas enormes por acceso a la API, no veo por qué no podrían seguir soportando el acceso sin iniciar sesión mientras Old Reddit siga valiendo la pena mantenerlo. Creo haber visto también redirecciones a CAPTCHA, y me pregunto si realmente sería tan difícil agregar eso a Old Reddit.
    En una suposición cínica, alguien le puso a Old Reddit un límite de velocidad de 2 segundos, vio que las cifras de scraping seguían igual y decidió cerrarlo; luego, tras choques internos, salió el compromiso actual.

• En este ámbito, las mentiras descaradas son absurdamente comunes y se toleran con demasiada frecuencia. Hasta hace unos meses, Cloudflare mostraba “debemos revisar la seguridad de tu conexión antes de continuar a example.com”, y recién hace poco lo cambió por algo más honesto: que un servicio de bloqueo de bots maliciosos está verificando al usuario.
  La justificación de Google para eliminar XSLT fue parecida. Al principio presentó la seguridad como razón principal, pero antes de empezar la eliminación real ofreció un reemplazo totalmente compatible implementado como extensión, invalidando por sí mismo su argumento de seguridad. Aun así, durante la fase real de eliminación siguió diciendo que era “por seguridad”, cuando debería haber presentado honestamente otras razones válidas. Lo que molesta no es que todos los fabricantes de navegadores quisieran eliminar XSLT, sino la forma en que Google lo empaquetó.

• A las empresas les encanta decir que cualquier cosa es “por seguridad”. Hace mucho, en una tienda de conveniencia me dijeron que no podía entrar con una pequeña bolsa portátil, y que era por mi seguridad y la de otros clientes. Tal vez alguien podría golpear a otra persona con una bolsa vacía, o quizá ya habían sufrido un robo, pero la preocupación real casi con seguridad era el hurto.
  Habría respetado mucho más que sustituyeran honestamente “seguridad” por “para mantener y aumentar el margen de ganancia”. Es obvio que el propósito de un negocio es ganar dinero.

• Basta con usar frontends de lectura de Reddit centrados en privacidad, como redlib, libreddit o teddit, junto con plugins de redirección como libredirect. Salvo quienes desarrollan esas interfaces, nadie tiene por qué soportar directamente los últimos abusos de Reddit.

• Usar old.reddit.com permite eludir la barrera de inicio de sesión de los subreddits para mayores de 18 años, que incluyen no solo temas sexuales sino también otros contenidos sensibles.
  Para quienes quieren acceder a ciertos temas sin una cuenta de Reddit, este cambio es peor. Reddit sigue siendo una fuente enorme de información, por eso a menudo agrego site:reddit.com a mis búsquedas.

• Reddit también eliminó la API JSON, bloqueando herramientas como lurker(https://tangled.org/oppi.li/lurker), que permitían ver Reddit sin cuenta, sin barrera de inicio de sesión y sin JavaScript. Sabía que algún día pasaría, y parece que los datos generados por usuarios de alta calidad son el muro defensivo de Reddit.

• Old Reddit tampoco es “seguro” para los intereses comerciales de Reddit. El Reddit nuevo ahora se niega directamente a funcionar en teléfonos y fuerza la descarga de la app, donde los bloqueadores de anuncios comunes no funcionan y Reddit puede ejercer mucho más control que en el navegador. En cambio, el sitio antiguo todavía se puede usar en móvil.

  • Se puede evitar la imposición de la app usando “Solicitar sitio de escritorio” en el navegador.

• Tanto en Reddit como en HN he visto muchos bots evidentes y marketing promocional. Uno de los pocos lugares donde interactúo en línea es lobste.rs, porque puedo creer que la mayoría son personas reales.

• En móvil, después de leer cierta cantidad de comentarios en el Reddit nuevo, aparece una barrera de instalación de la app que no se puede cerrar y te obliga con el mensaje de que “Reddit es mejor en la app”. La única forma de evitarlo sin instalar la app es Old Reddit.
  Al parecer, ver más de una o dos páginas de un sitio web móvil hecho con cuidado es “inseguro”, y el cierre de Old Reddit parece intentar tapar este hueco en el embudo hacia la instalación de la app.