Subí mi API a producción y no sé si es segura: la cola

2026-10-29

Es sábado, las 9:10, y estás en la cola de la panadería con el teléfono en la mano.

Delante de ti hay una señora que pide dos barras y una de pan integral. Detrás, un niño que le tira de la manga a su padre. Huele a pan recién hecho y a café. Y tú no estás ahí.

Estás en la pantalla. Ayer por la tarde subiste la API de la tienda online de tu cliente a producción. Funcionó a la primera. Le mandaste un mensaje con tres emojis. Él contestó con un pulgar arriba y un «genial, gracias».

Y ahora, esta mañana, abres el panel del servidor solo para mirar. Solo mirar.

Lo que ves en la pantalla

Hay peticiones. Muchas más de las que esperabas para un sábado temprano. Algunas son de la tienda, claro. Otras tienen rutas que no reconoces, direcciones de lugares que no conoces, cosas que quizá son un rastreador cualquiera o quizá no.

No sabes si es normal. Esa es la parte incómoda: no sabes si es normal.

—¿Qué te pongo? —pregunta la panadera.

—Perdón. Una barra. Y una… sí, una barra.

Sales con el pan y con un pensamiento que no cabe en la bolsa: ¿y si dejé algo abierto?

No es que no sepas programar. Sabes. Pusiste autenticación, probaste los endpoints, revisaste que los pedidos se guardaran bien. Pero entre «funciona» y «es segura» hay un pasillo largo y oscuro, y tú lo cruzaste ayer con prisa porque la entrega era el viernes.

El coste que nadie apunta

Nadie te cobra por esta duda. No aparece en ninguna factura. Pero la pagas igual.

La pagas en el desayuno, cuando contestas «mm» a lo que te cuenta tu pareja. La pagas en el paseo, cuando sacas el móvil «un segundo». La pagas el domingo, cuando te dices que descansas pero tienes una pestaña abierta con el servidor.

Y la pagas con un sentimiento más callado: la sensación de ser una persona que lanza cosas y cruza los dedos. Que trabaja por su cuenta, sin nadie que revise detrás, y que a veces confunde «nadie me ha dicho nada» con «está bien».

Porque eso es lo que tiene trabajar sola o solo. No hay un compañero que diga «oye, ¿has mirado esto?». No hay un equipo de seguridad. Estás tú, tu cliente que confía en ti, y una lista que llevas en la cabeza y que nunca está completa.

El momento en que algo cambia

En casa, mientras el pan se enfría en la encimera, haces lo que haces siempre: buscas. Escribes en el buscador la frase tal cual la piensas. Subí mi API a producción y no sé si es segura.

Salen artículos larguísimos. Guías de cuarenta apartados. Siglas que conoces a medias. Cierras la pestaña con más ruido en la cabeza que antes.

Y entonces te llega una idea sencilla, de esas que parecen obvias cuando por fin aparecen: el problema no es que no sepas. Es que no tienes una lista corta, ordenada y ya hecha que te diga qué mirar, en qué orden, y cuándo puedes dejar de mirar.

No otra guía para leer. Algo que repasas con un café al lado, marcas casilla por casilla, y al final puedes decir: «Esto está revisado. Esto lo dejo anotado para la semana que viene. Esto se lo cuento al cliente con calma».

Que la duda tenga un principio y un final. Eso es todo lo que querías.

Un lunes distinto

Imagina el lunes que viene.

Te sientas con el café. Abres tu lista. Vas recorriendo la API como quien repasa la casa antes de un viaje: puerta, ventana, gas, llaves. Algunas cosas ya estaban bien y lo confirmas en dos minutos. Otras las encuentras mal puestas y las arreglas con la cabeza fría, un lunes, con luz y sin prisa.

Cuando terminas, no hay una sensación de victoria enorme. Hay algo más tranquilo: el nudo del estómago ya no está.

Y el cliente, cuando te pregunte —porque algún día preguntará— «oye, ¿esto es seguro?», no tendrás que improvisar una respuesta valiente. Podrás decir: «Lo he revisado, esto es lo que miré, esto queda pendiente». Con papel delante. Con la voz de alguien que dirige un negocio de verdad.

Ese es el cambio. No ser más listo. Sentirte más tranquilo.

Y el sábado, otra vez, con pan

Otro sábado cualquiera. La cola de la panadería, el niño que tira de la manga, la señora de las dos barras.

Sacas el móvil, pero solo para ver la hora.

Pides tu pan. Lo hueles. Piensas en lo que vas a desayunar.

Eso es lo que hay al otro lado de la duda: un sábado que vuelve a ser tuyo.

Si te has reconocido en la cola

Si lanzaste una API y te ronda la pregunta de si es segura, hemos preparado algo pensado para ese momento: Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit. Son 58 puntos de revisión en PDF, con seguimiento en XLSX, pruebas con curl, un script que repasa las rutas con autenticación y una plantilla de informe para tu cliente, para Node/Express y Python. (El kit está en inglés.)

No sustituye a una auditoría profesional ni te promete que nada pueda pasar. Te ayuda a revisar con orden lo que está en tus manos. Y si no te sirve, tienes 30 días para pedir el reembolso completo, sin preguntas.

Ver el kit de revisión de seguridad para tu API

Una historia ilustrativa, escrita con ayuda de IA.