Seguridad de tu app
Lección 18 de 26 del curso «Vibe coding». Gratis, con animaciones y un test.
Error 1: la clave en el código
La IA escribe código que funciona, pero no siempre seguro. Ejemplo de la lección: hiciste un asistente de tareas con IA para tu generación. El esquema muestra errores comunes: una cruz roja y al lado el arreglo con una palomita. Error 1: la clave de una API de IA de pago está en el frontend o en un repositorio público. Los bots escanean GitHub sin parar y encuentran claves rápido. ¿Se filtró? Revócala de inmediato en el panel del servicio y crea otra.
Errores 2 y 3: puertas abiertas
Error 2: una base sin reglas de acceso, como RLS de la lección de bases de datos. Así cualquiera descarga los datos de todos los alumnos. Error 3: el panel de admin, la página que gestiona el sitio, solo está oculto porque no hay botón. La dirección /admin se puede escribir a mano igual. La revisión «¿de verdad es admin?» debe estar en el servidor en cada petición, no solo en la interfaz.
Error 4: confiar en el navegador
Error 4: confiar en lo que envía el navegador. Todo lo del frontend está en la computadora del usuario. Con las herramientas de desarrollador (tecla F12) puede cambiar cualquier petición: el precio, su id, el rol «admin». La regla: el servidor revisa quién envió la petición y si tiene permiso, y calcula él mismo precios y puntos. En el esquema decide el servidor, no el navegador.
Error 5: sin límites
Error 5: sin límites. Cada pregunta al asistente de IA te cuesta dinero, y un bot puede hacer miles en una noche. Un rate limit (límite de frecuencia) fija cuántas peticiones puede hacer un usuario por minuto; al resto se le responde «espera». Ejemplo: 20 preguntas por minuto por alumno sobran. Donde el servicio de IA lo permita, pon también un límite de gasto en su panel.
Error 6: librerías con agujeros
Error 6: dependencias con agujeros. Las dependencias son librerías ajenas que descarga npm install (la segunda línea del esquema). En versiones viejas se encuentran vulnerabilidades, o sea, huecos para ataques, así que actualízalas. Usa paquetes conocidos. La trampa: la IA a veces inventa el nombre de un paquete que no existe, y hay atacantes que registran esos nombres con código malicioso. ¿Paquete desconocido? Revisa que sea real y popular.
Datos personales y revisión
Los datos personales son todo lo que identifica a alguien, como nombre, correo o teléfono. Recoge solo lo que la app necesita para funcionar: a un asistente de tareas le basta el correo. Escribe una política de privacidad corta: qué recoges y para qué. Antes del lanzamiento pídele al agente: «revisa la seguridad del proyecto con esta lista». Pero su «todo bien» compruébalo tú, recorriendo el esquema.
Ponte a prueba
- Tu clave de la API de IA quedó en un repositorio público. ¿Qué haces primero?
Respuesta correcta: Revocar la clave en el panel y crear una nueva. Git recuerda el historial y los bots pudieron copiar la clave. Solo revocarla la deja inútil. - El precio llegó en una petición del navegador. ¿Puedes confiar en él?
Respuesta correcta: No, el servidor debe calcular el precio. El frontend corre en la computadora del usuario y puede cambiar cualquier petición. Https protege el camino, no la honestidad de quien envía. - ¿Para qué necesita un asistente de IA un rate limit?
Respuesta correcta: Para que un bot no haga miles de peticiones pagadas. Cada petición a la IA cuesta dinero. El límite de frecuencia evita que un usuario o bot queme tu presupuesto.
← Tareas en segundo plano y horarios Mapa de agentes de IA →