Le pides a la IA que te cree un portal de presupuestos. Subes un documento, el cliente entra y lo descarga. Todo parece listo. Ahora abre otra cuenta e intenta descargar ese mismo documento desde ella.
Si la segunda cuenta puede acceder, acabas de encontrar un fallo que una demo normal no habría mostrado. La interfaz funciona, pero falta una comprobación de acceso en el servidor.
Puedes usar un asistente de programación para construir la primera versión y avanzar rápido. Para decidir si está lista para publicar, comprueba quién puede ver cada dato, cómo se guardan las claves, de dónde sale el código y qué harás cuando algo falle. Vamos a recorrer esos pasos con un portal ficticio de presupuestos.
1. Describe lo que la app hará y quién podrá hacerlo
Antes de generar archivos, escribe los roles y sus permisos. En el portal, la empresa crea y asigna presupuestos. Cada cliente ve y descarga los suyos. Para el prototipo basta con dos clientes ficticios y varios PDF de prueba.
Copia esta petición y ajústala a tu proyecto.
Ayúdame a crear un portal de presupuestos para una pyme. Habrá un rol de administración y cuentas de clientes. Cada cliente podrá listar y descargar solo sus presupuestos. Diseña primero el modelo de datos, las comprobaciones de permisos en el servidor y las pruebas con dos cuentas. Usa datos ficticios y detente antes de conectar servicios reales o desplegar.
Revisa la propuesta antes de pedirle que programe. Te interesa ver qué comprobará el servidor, dónde guardará los archivos y qué ocurrirá cuando falte un permiso.
2. Comprueba el acceso en el servidor
Ocultar un botón en la pantalla mejora la interfaz. El servidor debe comprobar, en cada petición, quién está usando la app y si puede acceder al recurso solicitado.
Prueba con los clientes A y B. Entra como A, abre un presupuesto propio y copia la dirección de esa página del portal. Después inicia sesión como B e intenta abrirla. Repite la prueba en la ruta del portal que solicita la descarga. Si tu almacenamiento entrega enlaces temporales, comprueba quién puede generarlos y cuándo caducan. Trata el enlace temporal como una credencial mientras esté vigente. OWASP explica por qué el control de acceso debe aplicarse en código del servidor. Control de acceso roto, OWASP Top 10
3. Guarda las claves fuera del código que llega al navegador
Pon las claves privadas en la configuración del servidor o en el gestor de secretos del alojamiento. Usa credenciales de prueba durante el desarrollo y limita cada clave a las operaciones que necesita la app.
Antes de publicar, revisa el repositorio y los archivos que descarga el navegador. Si encuentras una clave privada que se compartió, revócala o rótala y comprueba su uso. Borrar la línea del código deja intactas las copias que ya se hicieron.
4. Revisa lo que introduce la gente y lo que instala la IA
Valida en el servidor los campos de formularios y limita el tamaño de los archivos. Usa consultas parametrizadas para la base de datos y muestra los textos de usuarios de forma segura. Si tu portal permite subir PDF, comprueba el tipo de archivo, controla quién lo puede descargar y separa su almacenamiento de los archivos públicos.
Pide al asistente que enumere las dependencias que quiere instalar y para qué las necesita. Comprueba que el paquete existe, quién lo mantiene y qué alertas tiene. Conserva el archivo que fija las versiones y revisa las actualizaciones con pruebas. Un escáner ayuda a detectar problemas conocidos. La prueba con dos cuentas sigue siendo necesaria para encontrar fallos propios de tu app. OWASP sobre riesgos en las dependencias
5. Haz inventario de datos y licencias
En el portal, anota qué datos personales necesitas, para qué, dónde se guardan y durante cuánto tiempo. Si un proveedor procesa datos por cuenta de tu empresa, revisa las condiciones del tratamiento y el acuerdo aplicable. Usa datos ficticios para pedir ayuda a la IA y para las pruebas. Si hay datos reales, revisa la base jurídica, la información que das a las personas y las medidas de seguridad adecuadas al riesgo. RGPD, artículos 5, 6, 13, 25, 28 y 32
Haz una lista equivalente para código, fotos, iconos, fuentes y plantillas. Anota de dónde salió cada pieza, qué licencia tiene y qué condiciones debes respetar para usarla o distribuirla. Un repositorio que se puede ver en internet puede carecer de una licencia que autorice su reutilización. Si la IA trae un fragmento reconocible, comprueba el origen y las condiciones antes de incorporarlo. GitHub sobre licencias de repositorios
6. Prueba el portal fuera de producción
| Prueba | Resultado esperado |
|---|---|
| Cliente A abre su presupuesto | Puede verlo y descargarlo |
| Cliente B intenta abrir el de A | El servidor deniega el acceso |
| Visitante sin sesión solicita un PDF desde el portal | La app pide iniciar sesión y no entrega el PDF |
| Se sube un archivo demasiado grande o de tipo incorrecto | La app lo rechaza con un mensaje comprensible |
| Falla la base de datos durante una operación | El usuario recibe un error y los registros no exponen claves ni datos de clientes |
| Una actualización rompe una función | El equipo puede recuperar una versión funcional y sabe qué datos restaurar |
Publica primero para un grupo pequeño. Deja a alguien a cargo de revisar errores y permisos, aplicar actualizaciones y recuperar el servicio. Para una revisión técnica más completa, el estándar ASVS de OWASP ofrece requisitos que se pueden comprobar. OWASP ASVS
En Lab3sesenta trabajamos este recorrido en el curso de Programación Asistida con Inteligencia Artificial, desde planificar una app hasta probarla y documentarla. Puedes empezar con una herramienta que ya te gustaría usar en tu trabajo. Ver el programa del curso