Mi cliente pregunta si mi API es segura: ¿qué reviso?

2026-11-04

Jueves, 11:40. Estás en la videollamada de entrega. Tienes la cámara encendida, una taza de café frío al lado y la pantalla compartida con la documentación que preparaste con tanto cuidado.

Todo va bien. Los endpoints responden, el cliente asiente, alguien dice «qué rápido va».

Y entonces Elena, la dueña del negocio, hace una pregunta sencilla:

—Oye, una cosa. ¿La API es segura?

Se te queda la sonrisa puesta, pero por dentro algo se cae un piso.

La respuesta que no tienes

Sabes programar. Llevas años haciéndolo. Pusiste autenticación, validaste los datos de entrada, guardaste las claves en variables de entorno. Eso crees. Eso recuerdas.

Pero «¿es segura?» no es una pregunta de código. Es una pregunta de confianza, y Elena no te la hace por curiosidad. Se la hace porque dentro de dos semanas sus clientes van a usar esto con sus pedidos, sus direcciones, sus teléfonos.

—Sí, sí, está bien montada —oyes que dices.

Suena a lo que dice alguien que no está del todo seguro. Elena lo nota, aunque no lo diga. Asiente despacio y pasa al siguiente punto de la reunión.

Tú ya no escuchas el siguiente punto.

Lo que cuesta no saberlo

Cuando cuelgas, cierras el portátil y te quedas mirando la pared.

No es miedo a que te hackeen mañana. Es algo más pequeño y más pegajoso: la duda de si olvidaste algo obvio. Una ruta sin proteger. Un error que enseña demasiado. Un usuario que, cambiando un número en la URL, ve algo que no debería.

No tienes una lista. Tienes recuerdos sueltos de artículos, de cosas que «habría que mirar», de un par de pruebas que hiciste a mano un martes.

Y eso te cuesta cosas que no salen en ninguna factura:

• La comida que te sabe a poco, porque sigues dándole vueltas.
• El «ya está entregado» que no termina de sentirse como un final.
• La incomodidad de cobrar por un trabajo del que no puedes responder del todo.
• Esa vocecita que te dice que un profesional de verdad sabría qué contestar.

No eres peor desarrollador por no tener la respuesta a mano. Simplemente nadie te enseñó a revisar una entrega con el mismo orden con el que la construiste.

El momento en que cambia la pregunta

Esa tarde, comiendo algo de pie en la cocina, piensas en otros oficios.

Una electricista no te dice «creo que la instalación está bien». Tiene su comprobación: la hace siempre igual, la apunta, y cuando el cliente pregunta, contesta con calma porque ya lo miró.

Entonces te das cuenta de que tu problema nunca fue técnico. Sabes hacer las cosas. Lo que te falta es un recorrido fijo que se repita en cada proyecto, para que la seguridad deje de ser una sensación y pase a ser algo que ya revisaste, punto por punto, con fecha.

No hace falta ser experto en ciberseguridad. Hace falta no tener que inventar la revisión cada vez que alguien te pregunta.

Otro jueves, la misma pregunta

Imagínate la próxima entrega. Misma hora, misma videollamada, quizá otro cliente.

Vuelve la pregunta:

—¿Y esto es seguro?

Pero ahora no se te cae nada por dentro. Respiras con normalidad. Sabes que ayer, con la tarde tranquila, pasaste por cada punto y dejaste anotado qué estaba bien y qué ajustaste.

—Sí. Lo revisé antes de entregarlo y te dejo un resumen de lo que miré, para que lo tengas.

Elena sonríe. No porque entienda los detalles, sino porque la respuesta suena a oficio. A alguien que trabaja con método.

Luego la reunión sigue. Tú escuchas el siguiente punto. Y al cerrar el portátil, el viernes se parece mucho más a un viernes.

Lo que cambia, sin más

No es magia. Es que la revisión deja de vivir en tu cabeza y pasa a un papel, o a una hoja, donde la puedes repetir, enseñar y archivar. Y que la conversación con tu cliente deje de ser un examen sorpresa.

A veces la calma profesional es eso: haber mirado, y poder decirlo sin titubear.

Si te reconoces en esta llamada

Si alguna vez te quedaste en blanco con esta misma pregunta, quizá te sirva tener la revisión ya preparada. Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit reúne 58 puntos de revisión en un PDF y un tracker en XLSX, con pruebas con curl, un script que escanea rutas sin autenticación y una plantilla de informe para tu cliente, para Node/Express y Python. (El producto está en inglés.)

Tiene 30 días de garantía: si no te ayuda, te devolvemos el dinero, sin preguntas. No sustituye a una auditoría profesional, pero te da un punto de partida ordenado.

👉 Ver el kit de revisión de seguridad para tu API

Una historia ilustrativa, escrita con ayuda de IA.