“Funciona. Lo que no sé es si puedo lanzarlo sin riesgo.”
Has construido una app de verdad con IA. Eso tiene mucho mérito. Pero la IA te dice que algo funciona, no si un desconocido puede leer los datos de tus usuarios, si alguien puede acabar pagando dos veces o si podrás volver atrás cuando algo se rompa. Esta página existe justo para cerrar esa brecha. Empieza por el test gratuito de 20 preguntas.
- Sin registro, y nada de lo que escribes sale de tu navegador.
- Claude Code / Cursor / Lovable / v0 / Bolt
Cómo suele llegar la gente hasta aquí
Si te suena aunque sea una de estas frases, esta página te va a servir
Son frases que dice gente real. Ninguna es vergonzosa, y ninguna es un problema de nivel. Vienen de un hecho estructural: hay cosas que la IA no escribe si no se las pides.
“ChatGPT me dijo que activara RLS. No sé qué es ni cómo se hace.”
RLS es el ajuste de la base de datos que decide quién puede leer qué filas. Sin él, cualquiera que conozca la dirección de tu app puede leer los datos de todos los usuarios. La parte de base de datos del autodiagnóstico empieza mostrándote cómo averiguar en qué situación estás.
“Le pedí a la IA que lo arreglara y se rompió otra cosa. Ya no sé qué está bien.”
La IA optimiza para cumplir la instrucción que tiene delante, no la coherencia del sistema entero. Escribir qué es lo que nunca puede romperse sigue siendo trabajo humano. Por ahí empezamos.
“Ya está publicado y hay gente usándolo. Siento que es tarde para decir que estoy preocupado.”
No es tarde. Tener usuarios reales incluso favorece el enfoque de cerrar los huecos por orden de prioridad. No hace falta que retires nada.
“Quiero preguntarle a un desarrollador, pero no sé qué preguntar.”
No pasa nada: las preguntas las hago yo. Podemos empezar con que me envíes una dirección; ya te guiaré para compartir el repositorio (el sitio donde está guardado tu código).
“La factura me ha subido de golpe y me da miedo lo que pase si crece el uso.”
Los servicios que cobran por uso se disparan con facilidad ante un pico de tráfico inesperado o un bucle accidental. Poner límites y alertas, y localizar los puntos que se disparan, es de lo más rentable justo después del lanzamiento.
“Soy el único que lo entiende. Si me pasa algo, nadie puede arreglarlo.”
Estar listo para un traspaso ya es un activo. Escribir solo tres cosas — dónde está todo, dónde están las claves y cómo volver atrás — cambia bastante el panorama.
Aquí nadie te va a decir que el error fue construirlo con IA. Yo escribo aplicaciones en producción con Claude Code todos los días.
Gratis · sin registro · 20 preguntas
¿Es seguro lanzar la app que has creado con IA?
Veinte preguntas que conviene repasar antes de poner delante de usuarios reales una app creada con Claude Code, Cursor o Lovable. No necesitas leer nada de código. Responde sí / no / no lo sé y obtendrás tus riesgos ordenados por gravedad, además de instrucciones de corrección que puedes pegar directamente en tu herramienta de IA.
Nada de lo que escribes sale de tu navegador — ni se envía, ni se guarda
- Contraseñas y claves de API
- Permisos de la base de datos
- Inicio de sesión y permisos
- Pagos
- Datos personales y obligaciones legales
- Operación, coste y recuperación
Qué puedes pedir y cuánto cuesta
Todo lo que necesites, y ni un paso más
No hace falta empezar a lo grande. Si lo único que quieres saber es si es seguro lanzar, con el primer nivel basta. Los precios son referencias honestas de “desde”; el presupuesto exacto sale de una primera llamada gratuita.
Autodiagnóstico previo al lanzamiento
Gratis · sin registro · 20 preguntas
Pre-launch light review
From $210
scoped per project
Tells you whether the app you built with AI (Claude Code, Cursor, Lovable, …) has a hole that must not go live. No coding knowledge required.
Spot review
From $680~1 week
Standard audit
From $1,900~2–3 weeks
Embedded fix
From $4,800Scoped (a few weeks+)
Doy por hecho que no sabes leer el código. Ya te guiaré para compartir el repositorio.
Dicho de entrada
Cuándo no necesitas contratar a nadie
No creo que todo el mundo necesite una revisión de pago. Si te reconoces en alguno de estos casos, con el autodiagnóstico gratuito es suficiente.
- Es una herramienta que usas solo tú, en la empresa o en casa. Si no se puede llegar a ella desde fuera, tu exposición es limitada.
- No hay inicio de sesión, ni datos de otras personas, ni pagos. Un sitio que solo muestra información tiene muy poco de lo que preocuparse.
- Todavía estás construyendo y no tienes fecha de lanzamiento. Esto puede esperar a que el lanzamiento esté a la vista.
- El autodiagnóstico no ha devuelto ningún punto crítico. En ese estado, seguir por tu cuenta es perfectamente razonable.
Por qué esto pasa una y otra vez
Datos medidos de que no es cosa tuya
Todo son fuentes primarias, enlazadas debajo.
45 %
de las muestras de código generadas con IA contenían un fallo de seguridad
En 80 tareas de programación y más de 100 grandes modelos de lenguaje, el 45 % de las muestras generadas introdujo una vulnerabilidad del Top 10 de OWASP. Las defensas frente al cross-site scripting (colar código ajeno dentro de tu página) fallaron en el 86 % de las muestras afectadas. No es el tipo de problema que un modelo más nuevo elimina en silencio.
~2×
más filtraciones de credenciales en los cambios de código hechos con IA
En los commits — los cambios de código que se van guardando — escritos con ayuda de IA, las claves de API y las contraseñas quedaron expuestas aproximadamente el doble de veces que en los escritos sin IA. La IA optimiza para que algo funcione, y eso suele significar poner la clave donde antes funcione.
CVSS 9,3
gravedad asignada a la falta de permisos de base de datos en apps de creadores con IA
CVE-2025-48757 describe una seguridad a nivel de fila insuficiente en sitios generados, que permite a atacantes sin autenticar leer o escribir en cualquier tabla de la base de datos — calificada en la franja más alta, CRÍTICA. El proveedor ha impugnado el CVE alegando que proteger los datos de la aplicación es responsabilidad del cliente. Dicho de otro modo: oficialmente la responsabilidad es tuya, que eres quien la construyó. Precisamente por eso existe esta página.
Nada de esto es un argumento contra las herramientas. Significa que publicar rápido y publicar seguro son dos trabajos distintos, y el segundo sigue siendo nuestro.
Quién lo va a revisar
Alguien que usa las mismas herramientas y las lleva a producción
No opino desde fuera sobre si construir con IA es arriesgado. Construyo y opero productos en producción con Claude Code, y he cerrado los huecos que deja en trabajos reales con clientes.
Una plataforma de pagos con cero cobros duplicados en producción
Diseñé e implementé el mecanismo que evita que un aviso de pago repetido cobre dos veces (en jerga: idempotencia), y en producción sigue en cero. Todo lo que escribo sobre pagos sale de este proyecto.
Un SaaS B2B galardonado con el Premio del Ministro del METI de Japón
Una plataforma de suscripción B2B que digitaliza la distribución de madera, incluido el inicio de sesión, los permisos y la separación estanca de varios clientes en un mismo sistema. Los mismos problemas que tienes tú, resueltos a escala de sistema empresarial.
También lanzo mis propios productos
No solo trabajo para clientes: también construyo y publico productos propios. Sé lo que se siente al tener algo que quieres lanzar y ponerte nervioso la noche antes.
Si prefieres entenderlo tú mismo
Lo escribo todo con la jerga traducida
Para quien quiere entender antes de preguntar. Desde “qué es RLS” hasta “cómo traspaso esto a un desarrollador”, ordenado por lo que de verdad puede hacerte daño. Todo gratis.
Preguntas frecuentes
Lo que me preguntan antes de escribirme
¿Puedo pedir ayuda si no sé programar?
Sí, es justo la premisa de esta página. Traduzco la jerga cuando explico algo, y los informes están escritos para personas sin perfil técnico. Si no sabes cómo compartir tu repositorio, también te guío en eso.
¿Me vas a decir que fue un error construirla con IA?
No. Yo escribo productos en producción con Claude Code todos los días. Construir con IA generativa es sencillamente rápido y barato, y muchas veces es la decisión correcta. Mi postura se limita a esto: publicar rápido y publicar seguro son dos trabajos distintos, y el segundo sigue siendo nuestro.
Me da reparo enseñarle mi código a alguien.
Es razonable. El autodiagnóstico gratuito no envía tu código a ninguna parte: se ejecuta entero en tu navegador. Para una revisión de pago basta con compartir solo las partes que importan, y podemos firmar antes un acuerdo de confidencialidad (NDA).
¿Cuánto cuesta?
La revisión ligera previa al lanzamiento parte de 210 $, con unos tres días laborables de plazo. Incluye un veredicto sobre si existen agujeros críticos, un informe escrito para personas sin perfil técnico e instrucciones de corrección que puedes pegar directamente en tu herramienta de IA. Una revisión de diseño más profunda o implementar las correcciones sube de nivel según el alcance. El alcance lo cerramos en una primera llamada gratuita.
Ya está publicado y con usuarios. ¿Es tarde?
No lo es. Queda mucho por hacer, y con usuarios reales cerramos las cosas en un orden que evita tirar el servicio abajo. Empezamos decidiendo si hay algo que haya que parar ahora mismo. Si hay dinero o datos personales de por medio, actuar antes te deja más opciones.
¿Puedes hacerte cargo de mi app y seguir desarrollándola?
Sí. Los traspasos salen más baratos con preparación, así que el primer paso habitual es dejar claro el estado actual: qué hay y dónde, dónde están las claves y si se puede volver atrás. El resultado de la revisión sirve además como documento de traspaso.
¿Sirve si he usado algo que no sea Claude Code?
Sí: Cursor, Lovable, v0, Bolt, Replit, cualquiera. Los huecos se repiten de una herramienta a otra. Los creadores que te montan el backend por ti (Lovable, Bolt, v0) suelen arrancar con huecos invisibles en los permisos de base de datos, así que ahí miro con especial cuidado.
Empieza por saber dónde estás de verdad
El autodiagnóstico gratuito son 20 preguntas y unos cinco minutos, sin registro y sin campo de correo. El resultado te dice cómo arreglar cada punto y te da instrucciones para pegar en tu herramienta de IA. Tráeme solo lo que quede.
Respondo en un plazo de dos días laborables y no envío mensajes comerciales de seguimiento.