Edit: Solo quiero aclarar antes que nada
que la carga de imágenes/miniaturas funciona perfecto desde mi misma IP con cualquier navegador basado en Chromium. Parece ser un problema relacionado con la política "Opaque Response Blocking" (ORB) de Firefox al recibir un
.
En Mozilla Firefox no carga ninguna imagen de goonbox/cuckcapital a menos que el .JPG de cuckcapital se abra directamente en su propia pestaña nueva sin referer (no carga las imágenes aunque ublock origin/umatrix/la Protección contra rastreo integrada de FF estén activados o desactivados). Esta es la URL con la que probé:
https://goonbox.cr/img/t2IWpU5
Si hago clic en "download image", me sale esto:

Si copio la URL del jpg (
https://simp6.cuckcapital.cr/images4/29ebf49d-5622-4cb9-a5b6-c6621db4816c.jpg ) desde la página de "Download Image", puedo cargarla pegándola en su propia pestaña nueva. Pero como Cloudflare devuelve "no-cache" en el header de respuesta, no puedo simplemente volver a goonbox, refrescar y esperar que mi copia en caché local aparezca en esa página después de cargar la imagen directamente en su propia pestaña.
----- Respuesta de IA abajo (
No sé si sirve de algo ) -----
El problema es que
simp6.cuckcapital.cr está rechazando las solicitudes cross-origin de goonbox.cr al servir un error JSON 403 en vez de un archivo de imagen, lo que activa la estricta política
Opaque Response Blocking (ORB) de Firefox.
Aquí hay un resumen de los cambios exactos que puede hacer el ingeniero, categorizados según dónde deben aplicarse:
Opción 1: Cambios en
(El host de imágenes — Recomendado)
Este es el lugar más efectivo para arreglar el problema. El servidor de imágenes debe decirle a los navegadores que
tiene permiso para embeber estos archivos.
- Añadir headers CORS: Configura el servidor web (Nginx, Apache o Node.js) que aloja las imágenes para permitir solicitudes cross-origin desde el sitio front-end. Debe enviar estos headers con cada respuesta de imagen:
http
Código:
Access-Control-Allow-Origin: https://goonbox.cr
Access-Control-Allow-Methods: GET, OPTIONS
- Corregir los MIME-Types de respaldo: Actualmente, cuando una solicitud falla o está restringida, el servidor responde con
Código:
Content-Type: application/json
. El ingeniero debería cambiar el comportamiento del servidor para que, si una solicitud falla, sirva una imagen de respaldo estándar (como un
o
) con un MIME-type correcto como
o
. Esto evita que Firefox active el bloqueo de seguridad ORB.
Opción 2: Cambios en Cloudflare (La capa de seguridad)
Si
usa Cloudflare, lo más probable es que la
Protección contra Hotlinking o el
Web Application Firewall (WAF) de Cloudflare esté generando esa página de error JSON
.
- Crear una regla Skip de WAF: El ingeniero debería ir al panel de Cloudflare de
y navegar a Security > WAF > Custom Rules. Puede crear una regla que permita las solicitudes que vienen de GoonBox:
- Campo:
o
- Operador:
- Valor:
- Acción:
(Hotlink Protection / Managed Rules)
- Ajustar la Protección contra Hotlinking: Si tienen activado el interruptor global "Hotlink Protection" en Scrape Shield, pueden apagarlo y reemplazarlo con una regla de firewall personalizada que ponga explícitamente en lista blanca dominios de confianza como
.
Opción 3: Cambios en goonbox.cr (El sitio front-end)
Si el ingeniero solo controla el sitio front-end (goonbox.cr), puede forzar al navegador a omitir los headers de rastreo para que el host de imágenes no se dé cuenta de que la solicitud es cross-origin.
- Aplicar una Referrer Policy global: Añade una etiqueta <meta> al <head> del sitio para indicarle al navegador que nunca filtre el origen a los elementos de imagen:
html
Código:
<meta name="referrer" content="no-referrer">
- Actualizar las etiquetas de imagen individualmente: Alternativamente, pueden añadir el atributo referrerpolicy directamente a las etiquetas HTML de imagen que cargan desde ese servidor:
html
Código:
<img src="https://cuckcapital.cr" referrerpolicy="no-referrer">
Nota: Si Cloudflare está revisando metadatos avanzados como
Código:
Sec-Fetch-Site: cross-site
, este truco del front-end por sí solo podría no funcionar, así que la Opción 1 o la Opción 2 serían mucho más confiables.