La checklist de seguridad de 10 minutos para apps hechas con vibe coding

Claves secretas en tu frontend

Solo las claves publicables (como pk_live_ o una clave anon de Supabase) deben estar en el navegador. Si una clave secreta (sk_live_, service_role) está en el código de tu app, rótala ya y muévela a una variable de entorno del lado del servidor.

CORS con comodín y endpoints de API abiertos

No dejes que cualquier sitio web llame a tu API. Restríngela a tu propio dominio en lugar de permitir todos los orígenes, para que otros sitios no la usen con el acceso de tus visitantes.

Source maps publicados

Desactiva la subida de source maps en tu build de producción para que tu código fuente no se pueda descargar desde el sitio en vivo.

Activa Row Level Security (Supabase)

Activa RLS en cada tabla. Sin ella, cualquiera con tu clave pública puede leer — o cambiar — todos tus datos.

Asegura los buckets de almacenamiento públicos

Haz privados los buckets salvo que un archivo sea de verdad para todos, y asegúrate de que el listado de archivos esté desactivado.

Oculta los archivos sensibles

Asegúrate de que archivos como /.env, /.git y los volcados de base de datos (.sql) no se puedan abrir directamente desde tu URL en vivo.

Añade cabeceras de seguridad básicas

Activa algunas cabeceras estándar (HSTS, X-Content-Type-Options y una Content-Security-Policy sencilla) — la mayoría de los hostings las añaden con un solo ajuste.

Activa las copias de seguridad automáticas de la base de datos

Activa copias de seguridad automáticas (por ejemplo, la recuperación a un punto en el tiempo de Supabase o un volcado programado) y luego intenta restaurar una de verdad para saber que funciona.

Mantén tu código en Git

Sube tu proyecto a un repositorio privado para que un cambio malo o un archivo borrado siempre se pueda recuperar.