Qué es el almacenamiento de objetos

Bienvenida

Bienvenido a Buckets expuestos: el error más caro de la nube. Esta píldora es para personas de desarrollo, operaciones, soporte o seguridad que empiezan con la nube. No necesita cuenta en ningún proveedor: le basta un navegador y un editor de texto.

Son cuatro lecciones cortas, un laboratorio en el que revisa cuatro políticas JSON ficticias y un quiz de 4 preguntas, unos 50 minutos en total. Al terminar sabrá qué es el almacenamiento de objetos, por qué caminos un bucket queda abierto a internet y qué cuatro controles lo evitan.

Qué es un bucket expuesto y por qué importa

Casi cualquier aplicación guarda archivos en la nube: fotos de perfil, facturas en PDF, respaldos, registros. Un bucket expuesto es un contenedor de esos archivos que, por un error de configuración, cualquier persona en internet puede leer, listar o modificar sin autenticarse. No hay que vulnerar nada; basta con conocer la dirección.

Amazon S3, el primer servicio masivo de este tipo, salió en 2006, y desde entonces las filtraciones por buckets abiertos aparecen en las noticias con una regularidad deprimente. Para quien defiende, el problema tiene tres caras: es un error barato de cometer, fácil de encontrar para terceros y muy caro de explicar a los clientes afectados.

Objetos, buckets y claves

Aquí no hay discos ni carpetas en el sentido de siempre. Usted crea un contenedor, que se llama bucket en AWS y Google Cloud, o contenedor dentro de una cuenta de almacenamiento en Azure. Adentro guarda objetos: cada uno es un archivo más sus metadatos, identificado por una clave.

Bucket:  facturas-tienda-ejemplo
Clave:   2026/10/factura-000123.pdf
URL:     https://facturas-tienda-ejemplo.s3.amazonaws.com/2026/10/factura-000123.pdf

Las barras de la clave parecen carpetas, pero son parte del nombre. La línea que importa es la última: cada objeto tiene una dirección web. Si los permisos lo permiten, cualquiera con esa URL lo descarga sin usuario ni contraseña, desde un celular en la soda de la esquina.

Los tres grandes

Los nombres de bucket en S3 y GCS son únicos en todo el mundo. Eso le permite a un atacante adivinarlos probando variantes del nombre de una empresa: tienda-ejemplo-backup, tienda-ejemplo-prod, tienda-ejemplo-dev. Hay herramientas que hacen exactamente eso con diccionarios de miles de sufijos.

Por qué se usa tanto

Es barato, prácticamente no se llena y casi no pierde datos. Se conecta con sitios estáticos, apps móviles, analítica y respaldos, y un bucket se crea en dos minutos desde la consola. Esa facilidad es el origen del problema: crearlo no exige pensar; configurarlo bien exige saber quién puede leer, quién puede escribir y desde dónde.

Responsabilidad compartida

El proveedor responde por que el servicio funcione, que los discos no fallen y que su infraestructura esté protegida. Usted decide quién accede a sus datos. Si un bucket queda abierto, no es una falla de AWS, Azure o Google: es una configuración del cliente, y los tres lo dicen así en su documentación.