¿Es segura tu app de Base44?

Base44 hace algo que los demás creadores no hacen, y conviene saberlo antes de ponerse a buscar problemas: tus datos nunca responden directamente a internet.

Tu app le pide algo a Base44, Base44 se lo pide a la base de datos, y la respuesta vuelve por el mismo camino. No hay una dirección que un desconocido pueda teclear. En la mayoría de las apps hechas deprisa, la mayor causa de datos filtrados es una tabla que puede leer cualquiera que tenga la dirección del proyecto, y en Base44 ese fallo ni siquiera está a tu alcance.

Y esta es la parte que guía tras guía cuenta mal: eso no hace que tu app sea segura, la hace segura en un aspecto concreto. El riesgo se traslada, y hacia dónde se traslada es tan predecible que podemos contártelo ya, antes de que analices nada.

Lo que Base44 mantiene fuera de internet por ti

El almacén, por seguir con la comparación evidente.

Piensa en tu app como una tienda. Todo lo que descarga el navegador de un visitante es el escaparate, y se entrega entero a cualquiera que cargue la página: un navegador no puede mostrar algo que no le enviaron. Detrás está el almacén, tus datos. En la mayoría de los creadores el almacén es otro edificio con su propia dirección en la misma calle, y que entren desconocidos depende de un ajuste que quizá nunca hayas visto. En Base44 no hay puerta a la calle.

En la práctica eso significa que no hay nada que pegar en un navegador. En una app con Supabase detrás, cualquiera puede sacar la dirección del proyecto de tu paquete, añadir el nombre de una tabla y ver qué vuelve. Haz lo mismo con una app de Base44 y la única dirección que encuentras es la tuya, en tu propio dominio, respondiendo lo que tu app fue escrita para responder.

Se nota en las notas. Entre las apps de Base44 de nuestro análisis de apps publicadas, casi todas sacan una A o una B, y los fallos que arrastran a otros creadores hasta una D apenas aparecen.

También tiene una consecuencia honesta: desde fuera nadie puede verificarlo, nosotros incluidos. Una revisión desde internet solo puede probar puertas que existen. Aquí no hay ninguna, así que no hay nada que informar, y un escáner que imprimiese "base de datos: segura" con esa base estaría inventándose un resultado.

¿Es un problema que haya una clave en tu app de Base44?

Normalmente no, y los dos tipos se parecen muchísimo.

Una clave publicable nombra un proyecto y no hace nada más. Está pensada para leerse, y encontrarla no es un hallazgo. Una clave secreta, del tipo sb_secret_…, service_role o sk_live_…, se salta todas las reglas que hayas escrito y puede leerlo y cambiarlo todo.

Base44 guarda sus propias credenciales en el servidor, así que una clave en tu app normalmente no es de Base44. Viene de algo que conectaste tú: una clave de mapas, de analítica o de pagos pegada para que funcionara una función. La que más encontramos en apps de Base44 es una clave de la API de Google, que conviene entender en lugar de asustarse, porque una sin restricciones la pueden gastar desconocidos. Leer qué clave tienes lleva un minuto.

Si de verdad encuentras un secreto, el orden importa. Cámbiala donde se emitió, en Google Cloud o en Stripe o de donde viniera, y sácala de tu código después. Borrar la línea primero no cierra nada: el valor antiguo ya está en cada copia en caché de tu sitio y en lo que un rastreador se llevara la semana pasada.

El ajuste que está mal en casi todas las apps de Base44

No es una clave, y no es la base de datos. Es con quién está dispuesta a hablar tu API.

Un navegador normalmente impide que una web lea los datos de otra. Esa regla es la razón de que una página que abres no pueda llamar a tu banco y poner tu saldo en pantalla sin que te enteres. Una cabecera de respuesta llamada CORS la levanta, y puesta en * la levanta para todo el mundo: una web de la que nunca has oído hablar puede llamar a la API de tu app desde el navegador de tu visitante y leer lo que vuelve.

En las apps de Base44 que hemos analizado este es el hallazgo más común con diferencia. También es con el que más se discute, y la discusión es legítima, así que aquí va la versión honesta. Un comodín delante de una dirección que exige inicio de sesión es un hallazgo flojo, porque la otra web sigue sin tener credenciales que enviar. Un comodín delante de una dirección que responde a cualquiera es lo serio, y alrededor de la mitad de las apps de Base44 que analizamos tienen al menos una dirección que devuelve datos a una petición simple sin nadie identificado. Son dos problemas distintos bajo una sola etiqueta, y el segundo es el que hay que ir a buscar.

En Base44 esa segunda cifra necesita una matización antes de que actúes sobre ella. Reabrimos una docena de esas apps en septiembre y, en todas las que respondieron, la dirección era la misma: /api/consent/config, que devuelve los ajustes de consentimiento de cookies de la app. Eso es configuración, no las filas de nadie. Así que toma el hallazgo como un aviso para leer qué devuelve tu propia dirección y no como la noticia de que tus datos están fuera, y ve a buscar las direcciones que añadió tu app.

Ninguno de los dos es un error tuyo. Un comodín es lo que publica una herramienta de compilación cuando nadie le ha dicho otra cosa, normalmente para que el dominio de vista previa y el dominio en vivo funcionen los dos mientras construyes. El texto breve tiene el arreglo, que consiste en poner tu propio dominio en lugar del asterisco.

El source map junto a la app, y de quién es el código

El segundo hallazgo más común, y el que puedes comprobar sin ninguna herramienta. En Base44 también es el que con más probabilidad habla de otra persona.

Un source map es un archivo que convierte el JavaScript comprimido que ejecuta el navegador en lo que tú escribiste, con los nombres de archivo originales, los comentarios y la estructura de carpetas intactos. Las herramientas de compilación los generan para que un error en producción apunte a una línea de verdad y no a la columna 4.812 de un único archivo enorme. Esa parte es de verdad útil. Publicarlos junto a la app es la parte que te cuesta algo.

Alrededor de tres de cada cinco apps de Base44 que analizamos sirven uno, y en Base44 el mapa que responde casi siempre es de la plataforma. Volvimos a 30 apps marcadas en septiembre y leímos qué contenía cada mapa: en 27 el único que servía era /static/js/badge.js.map, el del pequeño script con el que Base44 dibuja su distintivo, y en ninguna de las 30 había un mapa que cubriera los archivos del dueño. El archivo de entrada y cada trozo del que tu app está hecha de verdad no llevan dirección de mapa ninguna.

Así que la cifra se lee «tres de cada cinco apps de Base44 publican su código» y significa «tres de cada cinco apps de Base44 muestran el distintivo». También deja una línea de nuestro propio informe por responder, porque dice que tu código fuente original está publicado, y en una app de Base44 eso es cierto de un archivo que pertenece a tu casero. En Lovable, Replit y Bolt la misma línea dice lo que dice. Lo que encontramos dentro de esos mapas es el relato completo.

Comprobarlo lleva menos de un minuto y lo zanja para tu app en lugar de para la media. Abre tu app en vivo, pulsa F12 y mira el panel Sources. Una carpeta con tus propios archivos, con los nombres que tú pusiste, significa que salieron mapas con tu build, y la versión larga cuenta qué cambiar. Si no hay tal carpeta, ahí dentro no hay nada tuyo, diga lo que diga el informe.

Si enchufaste tu propia base de datos

Entonces la ventaja del principio de esta página no vale para esa parte, y vuelven las reglas de siempre.

Aproximadamente una cuarta parte de las apps de Base44 que analizamos nombra un proyecto de Supabase propio. Ese proyecto responde a internet directamente, igual que el de cualquier otro creador, así que Row Level Security ahora es cosa tuya: un interruptor por tabla que decide fila a fila quién puede leer qué.

Dos cosas deciden si la tienes. Supabase la activa por defecto en las tablas creadas en el Table Editor del panel, y no en las creadas ejecutando SQL, que es como las crean la mayoría de las configuraciones generadas. Y el interruptor es solo la mitad, porque una política que permite a todo el mundo deja la tabla abierta mientras el panel la da por segura.

Con el almacenamiento pasa lo mismo y se olvida fácil, porque vive en otra parte del panel, lejos de las reglas de las tablas. Un bucket marcado como público lo puede listar y descargar cualquiera que sepa que está ahí, enlace o no tu app algún archivo suyo, y los ajustes que lo deciden merecen una lectura tranquila.

Cómo revisar tu app de Base44 en unos diez minutos

Pregunta qué le dice tu API a otros sitios. Es lo que más probablemente esté mal y lo que nadie mira, porque en tu app no se comporta nada raro cuando está demasiado abierto.

Abre tu app en vivo con F12 y lee el panel Sources. Si tus propios archivos aparecen ahí con sus propios nombres, cualquier otra persona puede listarlos igual.

Lee cualquier clave que haya en la app. Con cada una, pregúntate si la pondrías en tu página de inicio. Si la respuesta es no, su sitio es un servidor, y hay que cambiarla en el origen antes de sacarla del código.

Abre Authentication → Policies, si conectaste tu propio proyecto de Supabase. Cualquier tabla que aparezca con Row Level Security desactivada responde a quien tenga la dirección del proyecto, y esa dirección está en tu app.

Y luego mira desde fuera. Los pasos de arriba te dicen qué está configurado. Qué puede alcanzar de verdad un desconocido es otra pregunta, y es la que responde nuestro análisis gratuito. Lee tu sitio en vivo como un visitante y te da una nota en unos 20 segundos, sin cuenta: analiza tu app.

Empieza por las dos que casi siempre merecen la pena: qué le dice tu API a otras webs y si tu código original salió con la app. Después, la lista de seguridad de 10 minutos cubre el resto.