Seguridad y acceso

Protege a tus usuarios y sus datos: acceso, permisos, claves y una revisión antes de lanzar. 5 unidades, 14 lecciones interactivas y retos prácticos. Con LINDO para resolver tus dudas.

Incluida en Pro · 14 lecciones · 58 retos.

Para quién es

Construyes con IA y no sabes si tu app es segura.
Vas a guardar datos de usuarios o cobrar y quieres hacerlo bien.
Quieres revisar tu app como lo haría un atacante.

Qué vas a construir: La auditoría de seguridad de tu app

Tu propia app revisada como lo haría un atacante: permisos probados con dos cuentas, secretos fuera del repositorio, cabeceras de seguridad activas y un informe con lo que corregiste. Sirve cualquier app con cuentas y datos por persona: las reservas de las clientas de una peluquería o las facturas de cada freelancer.

Dibuja quién puede hacer qué
Saca los secretos del repositorio
Intenta ver los datos de otra persona
Activa las cabeceras de seguridad
Escribe el informe

Unas 7 horas con Claude Code o Cursor, tu app publicada, con registro de usuarios y datos por persona (por ejemplo, con Supabase), dos cuentas de prueba, Las herramientas de desarrollo del navegador, npm audit.

Identidad digital

Autenticación vs. autorización: Distingue entre comprobar quién es un usuario y decidir qué puede hacer, y detecta cuándo falta lo segundo.
Sesiones y tokens (JWT): Entiende cómo tu app recuerda a quien inició sesión y averigua dónde guarda esa sesión.

Vulnerabilidades comunes

Los fallos más comunes (OWASP Top 10): Reconoce los fallos que más se repiten en las apps hechas con IA y pide a tu agente que los busque en la tuya.
Protección de APIs: Protege cada dirección de tu servidor: quién puede llamarla, cuántas veces, qué datos acepta y qué queda registrado.
Manejo de secretos: Saca las claves del código, impide que tu agente las lea y actúa en el orden correcto si una se filtra.

Seguridad en la práctica

Supabase Auth en acción: Elige los métodos de acceso de tu app, refuerza las cuentas con poder y prueba el recorrido completo.
RLS: seguridad a nivel de fila: Pide a tu agente las reglas que hacen que cada usuario vea solo sus filas, léelas y compruébalas con dos cuentas.
Validación de datos: Comprueba en el servidor todo lo que llega a tu app, incluido el texto que lee un modelo de IA.

Capas de refuerzo

HTTPS, CORS y cabeceras: Comprueba que tu app viaja cifrada y activa las cabeceras de seguridad que el navegador obedece.
Cifrado y hash: Decide qué datos guardas con hash, cuáles cifras y cuáles es mejor no guardar.
Dependencias y cadena de suministro: Decide con criterio cada paquete que tu agente quiere instalar y mantén al día los que ya usas.

Equipos, privacidad y lanzamiento

Varias organizaciones en una misma app: Aísla los datos de cada organización cliente y comprueba que ninguna ve los de otra.
Privacidad y cumplimiento: Convierte las ideas básicas de las leyes de datos personales en funciones concretas de tu app.
El checklist de seguridad: Audita tu proyecto con tu agente antes de lanzar, confirma cada hallazgo y ten listo el plan si algo sale mal.

Lección de muestra: El guardia y el pase vip

Imagina un concierto. En la puerta, un guardia revisa tu entrada y tu documento: comprueba que eres quien dices ser. Ya dentro, tu pulsera decide a qué zonas pasas: pista, grada o camerinos. Son dos controles distintos, y tu app necesita los dos.

AUTENTICACIÓN: ¿QUIÉN ERES? Es el guardia de la puerta. La app comprueba tu identidad con algo que solo tú sabes o tienes: una contraseña, un enlace que llega a tu correo, tu huella o tu cuenta de Google. El resultado es "sí, eres Ana" o "no te reconozco".

AUTORIZACIÓN: ¿QUÉ PUEDES HACER? Es la pulsera. Ya sabemos que eres Ana; ahora la app revisa si Ana tiene permiso para lo que intenta. Lo habitual es repartir permisos por roles (por ejemplo: lector, editor, administrador) y por propiedad (cada quien ve solo lo suyo).

UN EJEMPLO COMPLETO 1. Ana escribe su correo y su contraseña: autenticación. 2. La app la reconoce: "eres Ana, con rol de editora". 3. Ana intenta borrar un artículo. 4. La app revisa sus permisos: "las editoras no pueden borrar". Petición denegada: autorización.

DOS NÚMEROS QUE VERÁS A MENUDO Cuando la app responde 401 quiere decir "no sé quién eres, inicia sesión". Cuando responde 403, "sé quién eres, pero no tienes permiso".

Luis entra con su cuenta en su herramienta de facturas. Intenta borrar la factura de otro usuario y la app responde 403. ¿Qué control actuó?

La autenticación: la app no reconoció quién es Luis
La validación: el dato que envió tenía mal formato
La autorización: lo reconoce, pero no le da permiso

Preguntas frecuentes

¿Sigue OWASP?

Sí. El curso se basa en los riesgos de OWASP Top 10:2025 y en los fallos más comunes de las apps hechas con IA: permisos, secretos, dependencias y configuración.

¿Cuánto cuesta el curso de seguridad web?

Está incluido en el plan Pro, que abre las 14 rutas: US$14.99 al mes, US$59 al año o US$99 en un solo pago (Lifetime).

¿Cuánto tiempo lleva?

Son 14 lecciones cortas con 58 retos, más el proyecto final, que lleva alrededor de 7 horas de trabajo. Avanzas a tu ritmo.

¿Necesito conocimientos previos?

Te recomendamos haber hecho antes APIs e integraciones y Datos y backend. Es una recomendación, no un bloqueo: puedes empezar igual.

¿Hay certificado?

Sí. Con todas las lecciones completas y el proyecto final aprobado obtienes un certificado verificable con enlace público.