Miedo a que un usuario vea los datos de otro en mi API
2026-11-02
Es viernes, las 11:20, y estás en un coworking de Valencia con el café ya frío. En la pantalla hay una terminal y, al lado, el navegador con la app del cliente: una pequeña aplicación de reservas para una red de gimnasios. El lunes sale a producción.
Llevas semanas con ella. Funciona. El login funciona, las reservas funcionan, el panel se ve limpio. El cliente te ha escrito dos veces esta mañana con emojis de cohete.
Y tú tienes una frase clavada en la cabeza desde anoche: ¿y si un usuario puede ver los datos de otro?
La duda que no sale en el presupuesto
Nadie te la ha preguntado. El cliente no sabe que existe. En la reunión de seguimiento habló de colores, de la pantalla de pago y de si el botón de «Reservar» podía ser un poco más grande.
Pero tú sabes que detrás de cada pantalla hay una dirección, y que esa dirección lleva un número. Que tú, desde tu sesión, ves tus reservas. Y que hay una pregunta incómoda que no has hecho en voz alta: si cambias ese número por otro, ¿qué pasa?
Lo has probado dos o tres veces. Con una cuenta de prueba, con otra. Te ha salido bien. Pero «me ha salido bien tres veces» no es lo mismo que «lo he mirado todo». Hay cuarenta y tantas rutas. Algunas las escribiste en marzo, otras a las once de la noche, y una la copiaste de un proyecto anterior sin releerla.
Así que haces lo que hace casi todo el mundo: abres un par de rutas, pruebas un par de cosas, te dices que seguramente está bien y cierras el portátil con un nudo pequeño en el estómago.
Lo que cuesta no saberlo
No es un drama. Es algo más sordo.
Es que el sábado, en la comida con tu familia, estás a medias. Que miras el móvil cuando suena una notificación, aunque sea del grupo del fútbol. Que el domingo por la tarde te sorprendes pensando en rutas y números, mientras alguien te pregunta si quieres más tortilla.
Es que, si algo saliera mal, no sería solo un fallo técnico. Sería una llamada del cliente. Sería explicar que los datos de alguien, de gente real con nombre y teléfono, estuvieron a un cambio de número de distancia de otra persona. Y sería la sensación de «no soy tan profesional como parecía».
Y lo más injusto: esa duda no mide si tu trabajo es bueno. Mide solo que nadie te ha dado una forma tranquila de comprobarlo.
El mensaje de una compañera
A las 12:10 te escribe Irene, una colega que también trabaja por su cuenta, desde Sevilla. Le habías contado de pasada que tenías «un mal presentimiento tonto» con el lanzamiento.
«¿Tienes una lista de lo que miras antes de salir? —pregunta—. Yo antes lo hacía de memoria y siempre se me quedaba alguna ruta sin tocar».
Te quedas mirando la pantalla. No, no tienes una lista. Tienes memoria, buena intención y una carpeta de notas que se llama «cosas pendientes (final)».
Y de pronto caes en algo sencillo: el nudo no venía de que tu API fuera mala. Venía de que no tenías cómo saber que estaba bien. Eran dos problemas distintos, y solo uno de ellos hacía que el domingo se te fuera de las manos.
Cuando miras ruta por ruta
Esa tarde cambias la manera de mirar. No «a ver si encuentro algo raro», sino ruta por ruta, con un orden, marcando lo que ya has comprobado y dejando a la vista lo que todavía no. Sin prisa. Con un papel, o una hoja, donde queda escrito qué has probado y qué no.
No es magia. Es lo mismo que haces cuando repasas una factura antes de enviarla: no porque desconfíes de ti, sino porque quieres cerrar el tema.
A las siete encuentras una ruta que no habías mirado. Una sola. La arreglas en veinte minutos. Te ríes un poco, entre aliviada y fastidiada, porque era justo la que habías copiado del proyecto anterior.
Pero lo importante no es que apareciera. Lo importante es que ahora sabes dónde estás parada. Ya no es «creo que está bien». Es «he revisado esto, esto y esto, y aquí lo tengo anotado».
Un lunes distinto
El lunes por la mañana el lanzamiento sale. Pones el café al lado del portátil, abres el panel y miras cómo entran las primeras reservas. Nada espectacular. Gente apuntándose a una clase de spinning.
Te llega un mensaje del cliente: «¡Funciona!». Contestas con un pulgar arriba y vuelves a tu pantalla.
No estás en alerta. No tienes el estómago encogido. Si alguien te preguntara cómo has comprobado la seguridad de lo que entregaste, no tendrías que inventar una respuesta ni cambiar de tema. Abrirías tu hoja y la enseñarías.
A las doce cierras la terminal y sales a comer sin el teléfono en la mano. Es un tipo de paz muy pequeña, pero se nota enseguida.
Si te has reconocido en el viernes de las 11:20
Si tienes un lanzamiento cerca y esa misma frase dando vueltas, quizá no necesites más miedo ni más prisa. Quizá solo necesites una forma ordenada de mirar.
Por eso existe Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit: una lista de 58 puntos para repasar una API antes de salir, con un seguimiento en hoja de cálculo, pruebas con curl, un script que ayuda a localizar rutas sin protección y una plantilla de informe para enseñarle al cliente lo que has revisado. Está pensado para Node/Express y Python, y el producto está en inglés. Incluye 30 días de garantía: si no te ayuda, te devolvemos el dinero, sin preguntas.
No sustituye a una auditoría profesional ni a la opinión de un especialista; es una ayuda para que tu propia revisión sea más completa y más tranquila.
Una historia ilustrativa, escrita con ayuda de IA.