Las claves de API de Demozoo son razonables si la memoria de la escena sigue abierta

¿Una puerta cerrada es siempre un muro? Cuando el archivo de toda una subcultura te pide que inicies sesión antes de consultarlo, el instinto es ponerse a la defensiva. Creemos que ese instinto merece una segunda mirada, porque aquí el problema no es la cerradura. Es quién está zarandeando el pomo.

Qué ha cambiado, en dos párrafos

Demozoo, que se presenta como la mayor base de datos de lanzamientos, eventos, grupos y otras entidades de la demoscene, ha anunciado en su página de noticias que un «tráfico de bots insostenible» le obliga a cerrar el acceso público sin autenticación a su API. Desde el 1 de noviembre, o antes si los bots van a más, las peticiones deberán llevar una clave de API.

La mecánica es modesta. Según la pull request que lo implementó, los usuarios tendrán un elemento «API» en el menú de su cuenta para configurar claves, y el código incluye la revocación de claves. La documentación incluye consejos sobre límites de frecuencia aceptables y una referencia al volcado SQL público. Las peticiones hechas desde el navegador con la sesión iniciada siguen funcionando, y un endpoint de prueba permite a los desarrolladores comprobar su configuración antes del cambio.

Un archivo de voluntarios tiene derecho a defenderse

Leyendo el lenguaje de esa pull request se nota el agotamiento. El responsable culpa al tráfico de bots y, sin rodeos, a los «AI bros». Nosotros suavizaríamos el tono, pero no el diagnóstico. Demozoo nos parece una base de datos comunitaria, más que una empresa con presupuesto de infraestructura, y cuando los scrapers automáticos machacan un endpoint, alguien lo paga: con dinero, con tiempo o con sueño. Pedir una clave identificable es, a nuestro juicio, la herramienta más barata y menos intrusiva: permite a los responsables ver quién llama y revocar el acceso a los abusones sin dejar fuera a todos los demás.

También conviene fijarse en lo que no han hecho. No han eliminado la API ni han ocultado los datos. La clave va asociada a una cuenta normal y la documentación apunta a un volcado SQL público, lo que sugiere que el acceso masivo sigue siendo posible para quien necesite todo el contenido. En nuestra opinión, ese detalle importa más que la clave en sí.

El coste recae en las herramientas pequeñas, y ahí se prueba la apertura

Los primeros en notarlo serán probablemente los aficionados, no las granjas de bots. Piensa en el proyecto comunitario livecode.demozoo.org. Sus responsables señalaron en una incidencia que su comando de actualización llama a la API cada vez que encuentra un ID desconocido de scener o de party, y que cada colaborador que lo ejecute en local necesitaría su propia clave en un archivo de configuración local. Si además quieren que el despliegue automático gestione archivos de caché obsoletos, habría que guardar también una clave como secreto del repositorio. Se abrió una pull request que cubría la parte local y se fusionó en un par de días.

Es un impuesto pequeño y se pagó rápido. Apple2TS, un proyecto de emulador, también fusionó el 21 de octubre la compatibilidad con la autenticación por clave de Demozoo, antes de la fecha límite. Son el tipo de herramientas que hacen que un archivo de demos sea útil y no solo un almacén: emuladores que lanzan las producciones, índices que las conectan con sesiones de live coding. Su rápida adaptación sugiere que la comunidad está dispuesta a colaborar.

Pero la buena voluntad no es una política. La documentación que conocemos no nos dice cuáles serán las condiciones de uso, si las claves se limitarán o se denegarán alguna vez, ni cómo deben proceder los investigadores que hacen trabajo legítimo a gran escala. No vamos a especular. Sí diremos qué querríamos.

Lo que pediríamos a Demozoo, y a todos los demás

Primero, las claves deberían seguir siendo gratuitas e inmediatas para cualquiera con una cuenta. En cuanto una clave exija justificación o aprobación, una medida de seguridad se convierte en un portero. Segundo, las condiciones deberían estar por escrito con claridad: qué frecuencia es aceptable, qué se considera abuso, qué pasa si se cruza la línea. Tercero, el volcado SQL debería seguir siendo público y actualizado, porque es la respuesta honesta para quien quiere todo sin machacar un servidor en producción.

Y el resto también tenemos tarea. Si mantienes una herramienta que usa Demozoo, actualízala ya y pruébala con el endpoint de autenticación. Usa el volcado para el trabajo masivo. Guarda en caché lo que descargues. La memoria colectiva de la escena es un bien común, y los bienes comunes sobreviven cuando los usuarios toman menos del máximo.

Nuestro veredicto: esto parece una respuesta proporcionada a una amenaza real, no una valla alrededor de la historia de la escena. Juzguemos a Demozoo por lo que haga a continuación. Si las claves siguen siendo gratuitas y las reglas claras, probablemente se recordará como una nota al pie. Si no, seremos los primeros en decirlo.