Cuatro preguntas que separan amateurs de profesionales

Edificio de la Seguridad Social - IMG 20230602 125242.jpg — Imagen libre de Wikimedia Commons (CC BY-SA 4.0, autor: El Pantera)

Cuando un negocio te va a confiar su operación, hace cuatro preguntas, con o sin palabras técnicas. Seguridad: ¿están protegidas las llaves de acceso (las API key)? Roles: ¿cada quien ve solo lo que debe? Logs: ¿hay registro de lo que pasó para revisar después? Respaldo: si algo se borra o se corrompe, ¿se puede recuperar? Ninguna de las cuatro hace tu producto más 'inteligente', pero la ausencia de cualquiera te puede costar el cliente y un problema legal.

No son funciones: son seguros que evitan el desastre. Un respaldo sin probar no es respaldo.
Cimiento	Qué protege	El error típico del prototipo
Seguridad	Que nadie use tu cuenta de IA gratis ni robe accesos	La API key pegada en el código o expuesta en el navegador
Roles	Que un usuario no vea datos de otro	Un solo usuario "administrador" para todos
Logs	Poder reconstruir qué pasó	No registrar nada, o registrar datos sensibles de más
Respaldo	No perder los datos del cliente	Nunca probar que el respaldo sí se puede restaurar

Una API key expuesta es una fuga Si tu clave de IA está en el código que se envía al navegador, cualquiera la copia y gasta con tu tarjeta o accede con tus permisos. La clave vive en el servidor, nunca en el cliente. Y si se filtró, se rota (se genera una nueva), no se "esconde un poquito".

Un desarrollador describe cómo dejó su prototipo. Un detalle es un error de seguridad serio. Márcalo.

La API key de IA la guardo en una variable de entorno del servidor.
Puse la API key directo en el JavaScript para que el navegador haga las llamadas.
Solo los usuarios con rol admin pueden cambiar la configuración.

Identifica la linea con error.

¿Cuál práctica hace que un respaldo merezca llamarse así?

Tu producto guarda en los logs "todo por si acaso", incluyendo el contenido completo de los mensajes y datos personales. ¿Qué tan sano es eso?

Ordena el flujo de defensa ante una API key que se filtró.

☰

De los cuatro cimientos (seguridad, roles, logs, respaldo), ¿cuál tiene hoy tu mejor prototipo y cuál le falta por completo? Una línea de evidencia para cada uno.

Pista

Si no sabes si tu respaldo se restaura, no tienes respaldo todavía.

Siguiente paso: Proyecto — auditarás un prototipo con los 12 exámenes y escribirás su plan realista para volverse producto.

Sigue: Una demo no es un producto: los 12 exámenes
Objeto de la misma ruta para continuar aprendiendo.

Sigue: Proyecto: audita un prototipo y planéalo a producto
Objeto de la misma ruta para continuar aprendiendo.