Vas sobre un edificio que no cuidas tú
Casi todo lo que usa tu app viene de terceros: el framework, el lector de fechas, el cliente de base de datos, hasta el utilitario que formatea correos. Esas dependencias son gratis de usar y ajenas de mantener… hasta que algo pasa. Un parche de seguridad que no aplicas es una puerta abierta que sí es tuya; una actualización que aplicas sin probar puede romper lo que funcionaba.
[El ciclo de vida (y muerte) de una dependencia]
Esta actividad interactiva ('Explicacion visual') requiere el motor completo de Lumbre. El contenido estatico se muestra arriba; para la experiencia interactiva, visita la version online de este objeto.
Las cuatro reglas de la convivencia
| Regla | Qué significa | Cómo se la pides a la IA |
|---|---|---|
| Versiones ancladas | tu app fija exactamente qué versión de cada paquete usa; sin anclar, el día que el mundo actualice, tu app cambia sin tu permiso | «asegúrate de que package/requirements queda fijado a versiones exactas» |
| Mantén la lista corta | cada paquete es una deuda: si lo puedes hacer en 30 líneas, no lo traigas de terceros | «cuestiona cada dependencia: ¿qué gana y qué nos ata?» |
| Actualiza en rama con pruebas | los parches entran por tu puerta, con suite verde, no por sorpresa un martes | «abre rama de actualización, corre la suite y muéstrame qué rompió» |
| Escucha los avisos | un scanner de vulnerabilidades te dice HOY lo que alguien descubrirá en tu app mañana | «integra un chequeo de vulnerabilidades en dependencias, con reporte semanal» |
El prompt del inventario de deudas
Hazme el inventario de dependencias de mi app y clasificalas:\n1. criticas (framework, base de datos, autenticacion, pagos)\n2. utiles (fechas, validadores, imagenes)\n3. cuestionables (lo que ocupa 30 lineas y podria no ser de terceros)\n\nPara cada una: version anclada, que tan activa esta su mantencion\n(ultima publicacion, issues abiertos, quien la mantiene) y si hay vulnerabilidades reportadas.\n\nTermina con un plan de ACCION, no una lista: que actualizo esta semana, que congelo,\nque reemplazo, que elimino. Prioriza lo que toca autenticacion o datos de usuarios.Prueba
Tu framework publica un parche de seguridad y tu app lo usa. ¿Qué decisión es la sana?
Cuántas más dependencias usas, más rápido construyes… y menos control tienes sobre los cambios que llegan.
Detecta la adopción ingenua
La IA sugirió instalar un paquete para formatear teléfonos. Revisa su tarjeta de identidad. Señala la señal que debe preocuparte:
- Lo mantiene una empresa con historial público de parches.
- Descargas: 2 millones por semana.
- Última publicación hace 4 años; 38 issues abiertos, dos son de seguridad.
- Cubre exactamente tu caso con opción de formato mexicano.
Identifica la linea con error.
Pide a la IA el inventario del prompt con tu proyecto real y decide: ¿qué paquete sale, cuál queda anclado y quién revisará los avisos cada mes? Escribe las tres respuestas en tu documento maestro.