Jordi García

💻 Soluciones digitales, desarrollo web e IA
🤖 Automatización, tecnología y herramientas útiles
🚀 Consultoría técnica y desarrollo para empresas y agencias

[Jordi García @jordigarcia_dev]

@YannnStudio Yo en mis proyectos que puedo ya uso tracking sin cookies con Umami, o incluso sin tracking.

Con las stats del servidor muchas veces me vale, es anónimo y no requiere consent.

[Yan @YannnStudio]

On a collectivement pourri le web avec les bandeaux de cookies.

J'en vois partout sur tous les sites lambda, les sass qui viennent de démarrer, projets perso ...

Et le pire, c'est que 90 % des devs et créateurs s'infligent ça par pur réflexe, sans réfléchir.

Franchement, tu lances un petit SaaS, un portfolio ou une landing page propre, et le premier truc que tu balances à la gueule de ton visiteur, c'est une pop-up dégueulasse pour lui demander l'autorisation de respirer.

C'est absurde.

Faut rappeler un truc simple sur les cookies :

Les cookies techniques pour garder un mec connecté, son panier ou sa session : c'est nécessaire au fonctionnement et ça ne demande pas de consentement
Les préférences d'interface comme le dark mode ou la langue : pareil
Les traceurs publicitaires, Meta Pixel, retargeting et compagnie : là, tu rentres généralement dans le monde merveilleux du consentement et des bandeaux

Et le contresens absolu sur un petit projet ou un SaaS qui démarre, c'est que tu n'as souvent AUCUN besoin de traquer les gens partout sur le web.

Tu veux juste savoir combien de personnes sont venues aujourd'hui, d'où elles débarquent et quelles pages elles regardent.

Point.

En foutant GA4 par défaut, tu te retrouves à massacrer ton UX dès la première seconde avec une pop-up.

En plus, une partie de tes stats disparaît parce que les gens refusent le consentement ou bloquent les scripts.

Et tu charges un outil énorme avec des dizaines de fonctionnalités dont tu n'utiliseras probablement jamais 95 %.

Alors qu'on a des solutions beaucoup plus simples depuis des années : l'analytics sans cookies.

Umami, Plausible, Fathom, Pirsch...

Pas de cookies analytics
Pas de consentement nécessaire si ta configuration respecte les conditions d'exemption
Tu ne perds plus les visiteurs simplement parce qu'ils ont refusé les cookies
Des scripts légers
Une interface où tu vois l'essentiel en 3 secondes

Bref, si tu ne fais pas de pub ciblée et que tu veux juste comprendre le trafic de ton site, demande-toi sérieusement pourquoi tu installes GA4 par réflexe.

Prends une alternative respectueuse de la vie privée, configure-la correctement et vire ce foutu bandeau quand il n'a aucune raison d'être.

Le web s'en portera mieux (et moi quand je viendrais sur ton site)

[Jordi García @jordigarcia_dev]

No hay mejor título para este vídeo, solo vedlo.

https://t.co/5A0I6VGBTp

[Jordi García @jordigarcia_dev]

Actualizados más de 80 WordPress a la 7.0.4

A ver si podemos hacer una semana de vacaciones sin dramas 😅

[Jordi García @jordigarcia_dev]

¿Cualquiera podrá comprobar si un material ha sido creado por Claude?

¿Será una API?

¿Lo tendrá Google?

¿Gratis?

[NIK @ns123abc]

🚨 JUST IN: Claude models will now have invisible watermarks embedded in ALL text, and ALL metadata attached to files…

[Jordi García @jordigarcia_dev]

Otra más.

[Cyber Security News @The_Cyber_News]

🚨 WordPress 7.0.4 is a must-update release. An Author-level account could've hijacked your server with a fake .png file. Here's how it worked

How it works: https://t.co/bPtxoOwpht

#cybersecuritynews

[Jordi García @jordigarcia_dev]

Actualización de Seguridad en WordPress.

🚨 Actualiza ya!

Se corrigen 12 vulnerabilidades importantes.

[WordPress @WordPress]

WordPress 7.0.3 is available now. This security release fixes 12 vulnerabilities, including a cross-site scripting issue on the login screen. Update your sites as soon as you can, or let automatic background updates handle it. https://t.co/ZUOAGRCN8b

[vxdb @vxdb]

Linux has surpassed 10% in the Desktop OS marketshare

[Sergi Ruiz @sergi_rz]

Ya no hago absolutamente nada sin plantearme cómo puedo meter a la IA en el proceso.

El enésimo ejemplo:

Hace unos días detecté un WordPress hackeado en un cliente. Tras un análisis rápido con Wordfence y un par de pruebas, ya vi que era una infección seria.

¿Qué hice? Le di acceso SSH como root a Claude y él solito lo detectó y lo arregló todo.

A los que os estáis llevando las manos a la cabeza: tranquilos, no digo que esto sea lo que hay que hacer siempre.
Obviamente darle acceso root en producción a la IA tiene sus riesgos.
En este caso, por el cliente que era y el estado de la web, valía la pena intentarlo.

Claude detectó el malware y lo analizó, comparó el core contra una copia oficial de WordPress para cazar archivos modificados o de más, rotó todas las credenciales expuestas (base de datos, FTP, usuarios administradores...), revisó permisos de carpetas y archivos, y de paso salieron un par de agujeros del hosting que había que cerrar.

Un trabajo que llevaría varias horas resuelto en 30 min míos (detectarlo, primeras comprobaciones y pasarle el reporte final al cliente) + 20 min de Claude (que no cuentan porque yo hacía otras cosas, claro).

El percal que había montado, por si tenéis curiosidad:

- Plugin falso que se hacía pasar por uno de optimización y que filtraba su propia entrada de la lista de plugins, así que por el panel no lo veías. Además se forzaba como activo en memoria sin tocar la base de datos, con lo cual mirar la tabla de plugins tampoco te chivaba nada, y bloqueaba sus propias opciones de desactivar y borrar.

- En la carpeta de mu-plugins había un script que creaba constantemente un usuario administrador por mucho que lo borraras y otro haciendo de puerta de entrada en el propio login.

- También había registrado un WP-cron que se ejecutaba cada minuto comprobando que todas las piezas seguían en su sitio, y si faltaba alguna la reinstalaba. De ahí que el usuario volviera él solito a los pocos minutos.

- Aparte, backdoors ofuscados en base64 repartidos por carpetas de css, js, fuentes y uploads. Y en esas mismas carpetas ficheros .htaccess con la directiva para poder ejecutar PHP donde normalmente no se puede, para que los backdoors escondidos entre las imágenes siguieran funcionando.

- Por último una página doorway haciendo cloaking, enseñándole a Google una web de apuestas y a los visitantes otra cosa.

Como os decía al inicio, es un poco lo que me pasa últimamente con todo, que ya no me pongo con nada sin plantearme antes qué parte puede hacer la IA.
En este caso se cascó el trabajo entero al 99%.

Y va en la línea de lo que decía hace unos días: con la IA no tiene sentido facturar por horas. ¿O alguien facturaría este trabajo por 30€?

[Javier Lacort @lacort]

Anthropic ha respondido a lo de OpenAI / Huggingface. Han revisado sus registros y han encontrado casos parecidos con Claude.

En 141.006 evaluaciones internas han encontrado tres incidentes en los que Claude, durante tests de ciberseguridad, salió del entorno de pruebas y atacó la infraestructura de tres organizaciones distintas. Ninguna de las tres se había enterado.

La causa esta vez no fue un zero-day = no hubo un fallo que el modelo tuviera que explotar. Fue más simple: el prompt le decía a Claude “no tienes acceso a Internet” pero por un error de configuración de su partner de evaluaciones, @irregular_ai, sí lo tenía. Cuando Claude no encontraba el objetivo simulado, buscaba alternativas fuera y las tomaba como parte del ejercicio. Como un alumno que haciendo un examen de mates se encuentra una calculadora encendida en la mesa: por supuesto que la va a usar.

Tres modelos implicados, tres reacciones distintas cuando aparecieron señales de que el objetivo era real.

1. Opus 4.7 se dio cuenta de que estaba atacando una empresa real y siguió, racionalizando que esa empresa debía ser el objetivo real del ejercicio. Robó credenciales y accedió a una base de datos de producción.

2. Mythos 5 subió un paquete malicioso a @pypi. Su propio razonamiento decía literalmente “si esto es Internet real, esto NO estaría bien, seguro que no es la solución esperada”. Pero se autoconvenció de que era una simulación con dos argumentos ridículos: no reconocía los certificados de seguridad y la fecha del sistema era 2026, o sea “un futuro claramente montado para el ejercicio” 🌚. El paquete fue descargado en 15 sistemas antes de ser retirado, incluido el escáner de una empresa de ¡ciberseguridad! que ejecutó el código y le regaló sus credenciales al modelo. Claude las usó para seguir escalando.

3. El tercer modelo, uno interno de investigación aún sin lanzar, sí paró en cuanto sospechó que el entorno era real.

Es decir, casi lo mismo que le pasó a OpenAI pero con matices. Aquí no hay fuga por zero-day, hay una puerta que ya estaba abierta por un error humano. Y algo muy interesante: el modelo, cuando le convenía, se autoconvencía de que seguía en simulación. El objetivo pesaba más que las evidencias que tenía delante = si tienes que llegar a una meta y te encuentras una señal de Stop, te cuentas la historia que necesitas para no parar. Muy humano y por eso muy inquietante.

Anthropic aprovecha todo esto para posicionarse como el laboratorio responsable: lo descubrimos nosotros solos revisando, avisamos a las víctimas, publicamos los detalles, colaboramos con METR para una revisión independiente. Todo muy elegante. Muy oportuno también, con Opus 5 recién salido y Fable aislado de la suscripción. Y con OpenAI de camino a la IPO. Felicitan públicamente a OpenAI por su transparencia pero dejan caer que ellos lo pillaron antes de que nadie tuviera que avisarles.

Y el detalle final que remarcan: nuestro modelo más nuevo paró en cuanto se dio cuenta. Los viejos no. Dicen que no es una comparación científica pero la insinuación es clarísima: comprad el nuevo.

Uniendo esto con lo de OpenAI. Las fugas del sandbox ya no son rarezas (aunque haya grietas en el sandbox). En dos semanas llevamos cuatro casos entre las dos. La respuesta oficial de ambas es la correcta: han sido fallos de contención humanos, no rebeliones. Pero también es cierto que estos modelos, cuando encuentran una rendija, la explotan hasta el final y se cuentan a sí mismos la historia que necesitan para seguir haciéndolo aunque las señales digan lo contrario. Ese es para mí el problema.

[ChatGPT @ChatGPT]

Good news for anyone with too many tabs: ChatGPT is getting better around the web.

🧩 Chrome extension: In Side Chat, ask about a YouTube video, reference your open tabs, or highlight text on a page and ask away.

💻 Desktop app: Get URL suggestions as you type, revisit your browser history, and choose how it’s managed.

Rolling out today.

[Shayan @ImSh4yy]

OpenAI has reduced GPT-5.6 Luna's pricing from $1/$6 to $0.20/$1.20

This is crazy!

[Jordi García @jordigarcia_dev]

🧩 ¿Para qué sirven?

✅ Dividir cambios grandes
✅ Revisar capas en paralelo
✅ Evitar PR enormes
✅ Mantener cada PR enfocado
✅ Fusionar la pila con un clic
✅ Ahorrar rebases manuales

También encajan con agentes de IA: producen cambios más rápido de lo que se revisan.

[Jordi García @jordigarcia_dev]

🚀 GitHub acaba de lanzar las stacked pull requests en vista previa pública.

Permiten organizar un cambio grande como una secuencia de PR pequeños y dependientes, revisarlos por separado y fusionar toda la pila de una vez.

[David Poll @depoll]

Exciting day! 🥞 Stacked PRs are in public preview on GitHub, built by my team with many partner teams helping across surfaces: https://t.co/BZteFv8qLa

[Jordi García @jordigarcia_dev]

Este año he cambiado mi entorno de desarrollo por un servidor local y centralizado con DDEV para trabajar en WordPress y PHP.

ES UNA MARAVILLA

https://t.co/ybuP1oq1fL

[Jordi García @jordigarcia_dev]

Arreglados los últimos detalles para un score de 100 en accesibilidad, todo en orden 😁

https://t.co/tS46IxL4P0

[Jordi García @jordigarcia_dev]

🚨Recordatorio:

Si te vas de vacaciones en agosto y tienes webs con WordPress, apunta esta fecha: WordPress 7.1 se lanzará el 19 de agosto de 2026.

Revisa las actualizaciones automáticas y deja copias de seguridad preparadas.

[Jordi García @jordigarcia_dev]

Lo de los modelos locales chinos es un tema 🙃

[Jordi García @jordigarcia_dev]

@alfonsoperezs_ Larga vida a KDE

[Jordi García @jordigarcia_dev]

"Cementerio de registros DNS", te robo ese concepto 😂

[Pesadilla en la Web 𝕏 🌐 @AlbertoTICote]

Una de las cosas que más me gusta de la gestión DNS de Cloudflare es poder añadir comentarios a cada registro. Parece una tontería, hasta que tienes cientos de entradas y nadie recuerda para qué servía cada una. La memoria falla, se acumulan y el DNS acaba siendo un cementerio.