Septiembre. Vuelta al lío. Mucha gente va a lanzar este mes eso que montó con IA en verano. Antes de darle a "compartir" y mandárselo al mundo, para diez minutos.
Aquí tienes diez comprobaciones. Cada una con cómo la haces tú, sin saber programar. No hace falta que las pases todas hoy, pero sí que sepas cuáles fallas.
- Uno. Tus claves no están en el navegador. Abre tu app, pulsa F12, ve a Sources y a Network, y busca "key", "secret", "token", "sk-". La clave pública de la base de datos puede estar (es normal). Cualquier clave de servicio o de pago, no.
- Dos. Tu base de datos está cerrada. Si usas Supabase, el RLS tiene que estar encendido en todas las tablas. (De esto fue la edición de agosto.)
- Tres. El login protege de verdad. Copia la URL de una página privada, ciérrala, abre una ventana de incógnito y pégala sin iniciar sesión. Si te deja entrar, tu login es decorativo.
- Cuatro. Cada uno ve solo lo suyo. Entra con dos cuentas distintas. Desde la A, intenta abrir algo de la B cambiando el número en la dirección. Si lo ves, tienes un agujero clásico.
- Cinco. Tu app no se traga cualquier cosa. Mándale basura a tus formularios: texto larguísimo, símbolos raros, campos vacíos. Debe rechazarlos con educación, no romperse.
- Seis. Tienes cabeceras de seguridad. Mete tu web en securityheaders.com. Te da una nota de la A a la F. Si sacas D o menos, te faltan las básicas.
- Siete. Nadie puede aporrear tu login. ¿Puede alguien probar mil contraseñas por minuto sin que pase nada? Necesitas un límite de intentos.
- Ocho. Tu API no le abre a cualquiera. Mira tu configuración de CORS. Si acepta peticiones de cualquier dominio, cualquier web puede usar tu API en nombre de tus usuarios.
- Nueve. No guardas secretos en los registros. Revisa tus logs. Si ves contraseñas, tokens o datos personales escritos ahí, deja de escribirlos.
- Diez. Puedes volver atrás. Si mañana la lías o te entran, ¿tienes una copia de seguridad reciente y sabes restaurarla? Pruébalo antes de necesitarlo.
La trampa
Una trampa en la que cae mucha gente: pedirle a la IA que revise esto por ti. No sirve. La misma IA que creó los agujeros repite sus mismos puntos ciegos. Te dirá que está todo bien. Hace falta mirarlo desde fuera, a mano.
Si marcas las diez, enséñala tranquilo. Si dudas en tres o más, todavía no. Y si quieres que las diez las mire alguien que hace esto todo el día, en danielbrosed.com tienes los precios y cómo trabajo.
Todas las ediciones de Vibe Check