Un ingeniero aficionado a las identidades digitales cortas —con nombres de usuario limpios en redes sociales— se propuso conseguir una matrícula personalizada poco común tras recibir su tercer aviso de renovación del DMV. Para ello documenta una jerarquía de rareza: placas de un solo dígito (10), dígito repetido (10), una sola letra (26), combinaciones de dos letras (676), entre otras.
El principal recurso para consultar la disponibilidad de matrículas, PlateRadar, oculta las combinaciones raras tras un muro de pago de 20 dólares mensuales y solo refresca los datos cada 24 horas, un plazo demasiado largo para quien busca piezas exclusivas. El autor recurrió entonces al comprobador público de matrículas personalizadas de Florida, que permite verificar configuraciones antes de acudir a la oficina y admite hasta cinco comprobaciones por envío.
Usando Burp Suite interceptó una petición POST al endpoint de services.flhsmv.gov, identificó que se trataba de un formulario ASP.NET Web Form con los campos __VIEWSTATE, __VIEWSTATEGENERATOR y __EVENTVALIDATION, y constató que el sitio carecía de CAPTCHA, limitación por IP y firewall de aplicaciones. Aprovechando esa ausencia de rate limiting, construyó un script en TypeScript que descarga la página una vez para extraer los tokens con expresiones regulares, construye el cuerpo del POST con hasta cinco combinaciones por lote, envía la petición y parsea las etiquetas de respuesta AVAILABLE o NOT AVAILABLE. Los resultados se vuelcan en una base de datos Postgres con la marca temporal de la última comprobación, lo que le permite revalidar periódicamente las combinaciones de mayor valor y detectar cuándo alguna se libera.