Vibe coding: lista antes de lanzar tu app

Por qué hace falta esta revisión

Para su informe de 2025, Veracode probó código de más de 100 modelos y encontró un fallo de seguridad conocido en cerca del 45 % de las tareas. No es motivo para evitar la IA, pero sí para comprobar. Lo engañoso es que en pantalla todo parece correcto.

1. Secretos

¿Hay claves de API o contraseñas en el código o en el JavaScript del navegador? Abre la página y búscalas en las herramientas de desarrollo.
¿Se subió alguna vez un archivo .env al repositorio? Entonces ese valor se considera comprometido y hay que cambiarlo.
¿Se puede abrir el .env del servidor por URL? Pruébalo.

2. Permisos de acceso

Es el fallo grave más común en apps creadas con IA. La interfaz oculta un botón, pero la API no comprueba nada.

Crea dos cuentas de prueba. ¿Puede la cuenta A ver datos de la B, por ejemplo cambiando el ID en la URL?
¿Pueden los usuarios normales llamar a endpoints de administración?
Si usas Supabase o Firebase: ¿están activas de verdad Row Level Security o las Security Rules? Los valores por defecto no siempre protegen como crees.

3. Entradas de datos

¿Se valida todo en el servidor, no solo en el formulario?
¿Están parametrizadas las consultas a la base de datos?
¿Se escapa el texto de los usuarios antes de mostrarlo, para que no se ejecute ningún script ajeno?
¿Se comprueban tipo y tamaño en las subidas, y quedan los archivos fuera de la zona ejecutable?
Si tu app usa un modelo de lenguaje: ¿qué pasa si alguien intenta anular sus instrucciones?

4. Cuentas y sesiones

Usa un servicio de inicio de sesión probado en lugar de guardar contraseñas tú mismo.
¿Hay límites de intentos en el inicio de sesión y al restablecer la contraseña?
¿Caducan las sesiones y funciona de verdad el cierre de sesión?

5. Datos

¿Hay copias de seguridad automáticas y has restaurado alguna? Una copia sin probar no es una copia.
¿Están separadas las bases de datos de prueba y producción? Una IA que «recrea un momento la tabla» nunca debe llegar a datos reales.
¿Contienen los registros datos personales o tokens?

6. Costes y carga

¿Hay límites de presupuesto y alertas en alojamiento y proveedores de API?
¿Pueden los usuarios lanzar sin límite llamadas caras al modelo? Sin límite, la factura se puede disparar.
¿Qué ocurre si un tercero va lento: se cuelga todo o hay un mensaje razonable?

7. Dependencias

Los modelos a veces sugieren paquetes que no existen o están anticuados. Revisa cada dependencia nueva, ejecuta npm audit o similar y quita lo que nadie usa.

8. Pruebas para lo que no puede fallar

No necesitas una cobertura completa. Pero el inicio de sesión, los pagos y los permisos deben probarse automáticamente. Las pruebas son además el mejor freno para una IA que, con el próximo prompt, rehace algo que funcionaba.

9. Aspectos legales y operación

Aviso legal, política de privacidad y, si hace falta, consentimientos.
Si envías datos personales a proveedores de IA: ¿hay un contrato de encargo de tratamiento adecuado?
Supervisión de errores activa, para ver los problemas antes que tus usuarios.
Sabes volver a la última versión que funcionaba en caso de emergencia.

Lo que puedes pedirle a la propia IA

Pídele al modelo que revise su código con el OWASP Top 10 y que enumere la comprobación de acceso de cada endpoint. Encuentra bastante, pero no sustituye a una segunda revisión, porque el mismo modelo suele tener los mismos puntos ciegos. Si quieres que lo mire otra persona: revisión de código con tob-apps.

Vibe coding: lista antes del lanzamiento