Tengo miedo de que hackeen mi API antes de lanzarla: el martes del cliente

2026-10-13

Es martes, las once y cuarto de la mañana. Estás en una videollamada con Marta, tu cliente, que tiene una tienda online de cerámica y lleva meses esperando esto. Comparte pantalla. Habla del lanzamiento del jueves, de la newsletter, de los descuentos.

Tú asientes. Sonríes. Y por dentro, una frase que no para: ¿y si alguien entra por donde no debería?

La API funciona. Lo has probado a mano, endpoint por endpoint. Pero "funciona" y "está tranquila para salir al mundo" no son lo mismo, y lo sabes.

La duda que no cabe en la reunión

Nadie te la ha preguntado. Marta no sabe qué es un token ni le hace falta. Lo único que te dice es: "Entonces el jueves está todo listo, ¿verdad?"

Y tú respondes: "Sí, va todo bien."

No es mentira del todo. Pero tampoco es la verdad entera. La verdad entera sería: creo que he cerrado lo importante, pero no tengo forma de comprobarlo sin dejarme algo.

Cuelgas. Te quedas mirando el editor. Hay una ruta que escribiste hace tres semanas, con prisa, y no recuerdas si pide autenticación. Otra que devuelve más datos de los que el cliente necesita. Y esa variable de entorno que, seguro, está bien guardada. Seguro.

Es una preocupación muy callada. No da para llamar a nadie. No es una urgencia. Es un zumbido de fondo que se instala en la comida, en el paseo, en la fila del supermercado, cuando miras el móvil sin querer por si hay algún aviso raro.

Lo que cuesta no saberlo

No es solo el miedo al ataque. Es todo lo que viene con él.

Es revisar el código otra vez "por si acaso", sin saber muy bien qué buscas. Es leer foros a las dos de la tarde y salir con más dudas que al entrar. Es sentir que un profesional de verdad lo tendría todo controlado, y que tú, por tu cuenta, sin equipo de seguridad ni nadie que revise tu trabajo, estás improvisando.

Y es la sensación incómoda de entregar algo a un cliente que confía en ti sin poder decirle, con calma: "Lo he revisado con este criterio, esto sí está cubierto."

Los que trabajáis solos cargáis con eso. No hay un compañero que diga "yo le echo un vistazo". Eres desarrollador, responsable de seguridad y soporte, todo a la vez, y además tienes que facturar.

El momento en que cambia la cosa

Imagina que esa tarde, en vez de abrir otro foro, haces algo distinto. Te preguntas: ¿y si no tengo que acordarme de todo yo solo?

Porque la duda no nace de que no sepas. Nace de que revisas de memoria. Y la memoria, un martes a las once, con un lanzamiento encima, es un mal sitio donde guardar una lista.

Lo que haría falta es algo mucho más modesto que un gran curso: una lista ordenada, de la que puedas ir tachando. Algo que te diga "mira esto, y esto, y esto", y que al final te deje con un papel en la mano que diga qué has comprobado.

No promete que nada pueda fallar jamás; nadie honesto lo promete. Pero cambia la pregunta. Ya no es "¿habré olvidado algo?", sino "¿qué me falta por marcar?". Y esa segunda pregunta tiene una respuesta que cabe en una tarde.

Un jueves distinto

Vuelve a imaginar el jueves, pero con esa lista hecha.

Te levantas, te haces el café sin mirar el móvil. A las diez Marta te escribe: "¡Ya está en marcha!" Y tú respondes con un emoji y un "a disfrutar". Sin nudo en el estómago.

Puedes incluso enviarle, si quieres, un pequeño informe de lo que revisaste. No para asustarla, sino para que vea que su proyecto pasó por un proceso. Eso también es parecer, y ser, profesional.

Por la tarde sales a caminar. En la fila de la panadería no sacas el móvil. Esa noche duermes de un tirón, y el lanzamiento deja de ser una amenaza para volver a ser lo que era: una buena noticia para alguien que trabaja con ilusión.

No te has vuelto experto en seguridad de la noche a la mañana. Simplemente has dejado de depender de tu memoria y de tus nervios.

Si te has reconocido en el martes de las once

Hemos preparado algo pensado para ese momento: Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit. Es una revisión de 58 puntos con PDF, hoja de seguimiento en XLSX, pruebas con curl, un script que busca rutas sin autenticación (para Node/Express y Python) y una plantilla de informe para tu cliente. Está en inglés, eso sí.

Si quieres echarle un vistazo, está aquí, sin prisa: Launch Without the 2 a.m. Doubt. Y si no te ayuda, tienes 30 días para pedir el reembolso completo, sin preguntas.

Es una ayuda de organización: no sustituye a una auditoría profesional si tu proyecto la necesita.

Una historia ilustrativa, escrita con ayuda de IA.