Al principio
Se lanza
Los prompts se convierten en funcionalidades más rápido de lo que cualquier equipo podría escribirlas.
Servicios - Tu app hecha con IA funciona. Eso no significa que esté lista.
Lovable, Bolt, v0, Cursor y Claude Code te llevan a un producto funcional en días. Lo que no te dan es una app que sobreviva a sus primeros usuarios reales, a su primer atacante o a su primer traspaso a otro desarrollador. Leemos el código línea por línea y te decimos exactamente en qué punto está, por escrito, en 48 horas.
El problema - En la demo brilla. En producción, la prueba es otra.
Las herramientas de programación con IA optimizan para la pantalla que tienes delante. Todo lo que no aparece en esa pantalla es negociable para ellas, y la seguridad vive casi por completo fuera de ella.
Lo que muestra la demo
OKUna página de inicio de sesión que se ve perfecta. Todo lo que toca la demo está en esta pantalla, así que la demo nunca falla.
Lo que hay detrás
3 Crítico- Crítico
La API que hay detrás
Nunca comprueba quién llama. Cambia el ID de usuario y lees la cuenta de otra persona.
- Crítico
La base de datos que hay debajo
Seguridad a nivel de fila desactivada. Cualquiera con la clave pública puede leer todas las filas.
- Crítico
El bundle que publicas
El secreto de pago está en el JavaScript que descarga cada visitante.
Nada de esto rompe la demo. Todo se rompe la semana en que lanzas.
Después
Se va a la deriva
Sin pruebas ni revisión. Cada nuevo prompt deshace en silencio algo que ayer funcionaba.
Al final
Se estanca
El código crece más allá de lo que nadie entiende, y el desarrollador que contratas te presupuesta una reescritura.
Una auditoría convierte esa incertidumbre en una lista: qué está mal, dónde está y cuánto le costaría a un atacante aprovecharlo.
- de las muestras de código generado por IA introducían una vulnerabilidad del OWASP Top 10 (Veracode, 2025)
- 45%
- Desde el acceso al repositorio hasta un informe escrito y priorizado
- 48 h
- Dimensiones evaluadas, desde la gestión de secretos hasta la exposición a costos
- 8
Lo que encontramos - Los mismos seis problemas en casi todas las bases de código hechas con IA
El generador cambia la forma del código, no los errores. Estos son los hallazgos que se repiten una y otra vez, sea cual sea la herramienta que creó la app.
- Secretos en el bundle del cliente. Claves de API, tokens de service role y secretos de webhooks colocados en un archivo que llega al navegador. Cualquiera puede leerlos en el código fuente de la página, y rotarlos es la mitad fácil de la solución.
- Una autorización que solo vive en la interfaz. El botón está oculto, así que la funcionalidad parece protegida. Pero el endpoint que hay detrás sigue respondiendo a cualquiera que lo llame directamente con otro ID de usuario.
- Bases de datos abiertas por defecto. Proyectos de Supabase y Firebase con la seguridad a nivel de fila desactivada, o con reglas tan permisivas que un cliente puede leer los registros de todos los demás.
- Entradas que nadie valida. Los cuerpos de las solicitudes van directos a una consulta, una ruta de archivo o una plantilla, sin que nada compruebe su estructura, su tamaño o si siquiera pertenecen a quien llama.
- Cero cobertura de pruebas. Nada detecta las regresiones, así que las funcionalidades desaparecen en silencio y nadie sabe qué prompt las eliminó. Cada cambio se convierte en una apuesta sobre las partes en las que olvidaste hacer clic.
- Costos sin techo. Sin límites de solicitudes ni cuotas en los endpoints que llaman a un LLM o a una API de terceros que cobra por uso. Un solo scraper, o un bucle mal hecho, se convierte en una factura de cinco cifras.
Cobertura - Sea cual sea el lenguaje, sabemos leerlo
El código generado con prompts rara vez se queda en un solo stack. Un frontend en Next.js sobre Supabase, un panel en Angular sobre un servicio Java, una app en Swift que llama a Python. Los lenguajes cambian el aspecto de los hallazgos, no su naturaleza.
Frontend
React
Next.js
Vue
Nuxt
Angular
Svelte
Astro
TypeScript
Tailwind CSS
Backend y API
Node.js
NestJS
Express
Python
Django
FastAPI
Java
Spring
Go
.NET
PHP
Laravel
Ruby
GraphQL
Móvil
Swift
Kotlin
Flutter- React Native
Expo
Datos e infraestructura
PostgreSQL
MySQL
MongoDB
Redis
Supabase
Firebase
Prisma
Docker
AWS
Vercel
¿No está en la lista? Pregúntanos en la llamada. Las ocho dimensiones que evaluamos no dependen del lenguaje, y si tu stack es de los que preferimos no asumir, te lo decimos antes de que pagues.
El entregable - Un solo informe, ordenado por lo que te hará daño primero
Recibes un documento escrito, no el volcado de un escáner. Cada hallazgo indica el archivo, explica el problema concreto que hace posible y lleva una severidad que estamos dispuestos a defender en una llamada.
Ejemplo de ficha de evaluación
4 Crítico3 A vigilar1 OK
- Secretos y configuración
- Clave service role incluida en el bundle del cliente
- Crítico
- Autenticación y control de acceso
- Los endpoints confían en un ID de usuario enviado por el cliente
- Crítico
- Datos y seguridad a nivel de fila
- RLS desactivada en 4 de 7 tablas
- Crítico
- Pruebas y CI
- Sin suite de pruebas ni pipeline
- Crítico
- Validación de entradas
- Las operaciones de escritura aceptan cuerpos sin validar
- A vigilar
- Arquitectura
- Lógica de negocio metida en los componentes
- A vigilar
- Dependencias
- 11 paquetes sin versión fijada, 3 sin mantenimiento
- A vigilar
- Rendimiento y costos
- Aguanta la carga prevista, pero sin límites de solicitudes
- OK
Ilustración del formato del informe. Los hallazgos anteriores son representativos de lo que vemos en bases de código generadas por IA, no resultados de un proyecto con un cliente.
Cómo funciona - De la primera llamada a un informe con el que puedes actuar
Sin ciclo de compras ni fase de descubrimiento. Cuatro pasos, y la mayoría corren de nuestra cuenta.
Reserva la llamada.
Treinta minutos, gratis. Nos muestras la app, te preguntamos qué debe hacer y a quién va dirigida, y te damos el precio de la auditoría en el momento.
Danos acceso de lectura.
Tu repositorio, o la exportación de tu herramienta de creación, más acceso de solo lectura a tu proyecto de backend. Si quieres, firmamos antes un NDA. Nunca necesitamos credenciales de producción.
Recibe el informe en 48 horas.
Ocho dimensiones evaluadas. Cada hallazgo indica un archivo, el problema concreto que hace posible y una severidad. Te lo explicamos en vivo si quieres.
Decide qué pasa después.
Lleva el informe a tu propio desarrollador o elige uno de los tres caminos de abajo. La recomendación está en el informe en cualquier caso, y no tienes ninguna obligación.
Después de la auditoría - Tres caminos posibles, y te decimos cuál necesitas
El informe termina con una recomendación. A veces es una corrección de dos días. Otras, la respuesta honesta es que hay que rehacer los cimientos, y lo decimos sin rodeos en lugar de venderte la opción más grande.
Corrección puntual
Días, no semanas
Los hallazgos críticos, resueltos. Secretos rotados y trasladados al servidor, control de acceso aplicado en la API en lugar de en la interfaz, seguridad a nivel de fila bien escrita. Tu stack se queda exactamente como está.
Sprint de refuerzo
1 semana
Todo lo de la corrección puntual, más validación de esquemas en cada operación de escritura, una suite de pruebas que cubre los flujos que te dan dinero, un pipeline que bloquea los cambios que rompen algo, y desarrollo separado de producción.
Reconstrucción y toma de control
2 semanas o más
Para cuando los cimientos no admiten parches. Conservamos tus pantallas y tu UX, la parte que el vibe coding hace bien, y reconstruimos lo que hay debajo: autenticación, modelo de datos, capa de API, seguridad, pruebas y despliegue.
Independencia - El objetivo: que no dependas de nadie
Una auditoría que te deja dependiendo de quienes la escribieron ha fracasado. Elijas el camino que elijas después, el resultado acaba siendo tuyo.
- El informe, pase lo que pase. Sigas con nosotros o no, la auditoría escrita es tuya: puedes quedártela y dársela a cualquier desarrollador que contrates después.
- Código que es tuyo. En tu Git, bajo tu licencia, y estructurado para que un ingeniero que nunca lo ha visto se oriente en una tarde.
- Sin nuevas dependencias. Tu suscripción a Lovable o Bolt pasa a ser opcional, sin que la sustituya una dependencia de nosotros. Sigue usando herramientas de IA si te funcionan.
- Pruebas y un pipeline. Cobertura de los flujos que importan e integración continua que falla de forma visible, antes de que sean tus usuarios quienes lo noten.
Auditoría de código generado con vibe coding: preguntas frecuentes
Lo que nos preguntan los fundadores antes de reservar una auditoría. Si tu pregunta no está aquí, escríbela en el formulario y te la responderemos en la llamada.
Una revisión humana, línea por línea, de la aplicación que una herramienta de IA construyó por ti. Evaluamos ocho dimensiones, desde la gestión de secretos y el control de acceso hasta los tests y la exposición a costos, y entregamos un informe escrito que señala el archivo detrás de cada hallazgo, explica lo que un atacante o una entrada errónea podrían hacer realmente con él, y lo ordena todo según lo que te hará daño primero. Es una revisión de código hecha por ingenieros, no el informe de un escáner automático.
No. Este servicio cubre bases de código de aplicaciones: Next.js, React, Node, Python, Supabase, Firebase y la infraestructura que las rodea. La revisión de smart contracts es un servicio aparte, con otro método y otro precio. Si tu proyecto necesita ambos, dínoslo en la llamada y definiremos el alcance de los dos juntos.
Lovable, Bolt.new, v0, Replit, Base44, Cursor, Claude Code, Windsurf y GitHub Copilot, además de cualquier otra herramienta que haya generado código que no escribiste tú. La herramienta cambia la forma de la base de código, no los patrones de fallo, así que el método de auditoría es el mismo para todas.
En el frontend: React, Next.js, Vue, Nuxt, Angular, Svelte, Astro, TypeScript y Tailwind CSS. En el backend: Node.js, NestJS, Express, Python con Django o FastAPI, Java con Spring, Go, .NET, PHP con Laravel, Ruby y API GraphQL. En móvil: Swift, Kotlin, Flutter, React Native y Expo. Alrededor de todo ello: PostgreSQL, MySQL, MongoDB, Redis, Supabase, Firebase, Prisma, Docker, AWS y Vercel. Las ocho dimensiones que evaluamos son independientes del lenguaje, así que si tu stack no está en esta lista, pregúntanos en la llamada.
El informe escrito llega 48 horas después de que tengamos acceso de lectura, para una base de código típica de un solo producto. Si tu proyecto es tan grande que 48 horas supondrían una revisión superficial, te decimos el plazo real en la llamada de evaluación, no después de que hayas pagado.
Acceso de lectura al repositorio, o la exportación de tu herramienta de creación, además de la URL de la app desplegada y acceso de solo lectura a tu proyecto de backend si usas uno como Supabase o Firebase. Con solo lectura basta. Nunca necesitamos credenciales de producción ni datos de clientes.
Sí. Si lo deseas, firmamos un NDA antes de ver nada, trabajamos con acceso de solo lectura y no conservamos ninguna copia de tu base de código cuando termina el encargo. El informe es tuyo: no lo publicamos ni mencionamos tu proyecto sin permiso por escrito.
Las dos cosas. El informe es un entregable independiente que puedes pasar a cualquier desarrollador, incluido el tuyo. Si prefieres que nosotros resolvamos los hallazgos, el informe termina con una recomendación, presupuestada aparte: una corrección específica de los puntos críticos, un sprint de refuerzo o una reconstrucción completa de las bases.
Normalmente no. Las pantallas, el diseño y los flujos son lo que el vibe coding sí hace bien, y la razón por la que llegaste tan rápido a un producto que funciona. Una reconstrucción los conserva y sustituye lo que hay debajo: autenticación, modelo de datos, capa de API, seguridad, tests y despliegue.
Entonces eso es lo que dirá el informe, y lanzas con una segunda opinión por escrito en lugar de una corazonada. No tenemos ningún incentivo para inventar hallazgos: la auditoría tiene precio propio como entregable, y la recomendación final es tan a menudo una corrección de dos días como una reconstrucción.
La llamada de evaluación es gratuita y dura 30 minutos. La auditoría tiene un precio fijo que te damos en esa llamada, una vez que conocemos el tamaño de la base de código y el stack. Cualquier trabajo posterior se presupuesta a partir del informe, así que ves los hallazgos antes de comprometerte a corregirlos.