¿Es segura tu app de Base44?

Base44 hace algo que los demás creadores no hacen, y conviene saberlo antes de ponerse a buscar problemas: tus datos nunca responden directamente a internet.

Tu app le pide algo a Base44, Base44 se lo pide a la base de datos, y la respuesta vuelve por el mismo camino. No hay una dirección que un desconocido pueda teclear. En la mayoría de las apps hechas deprisa, la mayor causa de datos filtrados es una tabla que puede leer cualquiera que tenga la dirección del proyecto, y en Base44 ese fallo ni siquiera está a tu alcance.

Y esta es la parte que guía tras guía cuenta mal: eso no hace que tu app sea segura, la hace segura en un aspecto concreto. El riesgo se traslada, y hacia dónde se traslada es tan predecible que podemos contártelo ya, antes de que analices nada.

Lo que Base44 mantiene fuera de internet por ti

El almacén, por seguir con la comparación evidente.

Piensa en tu app como una tienda. Todo lo que descarga el navegador de un visitante es el escaparate, y se entrega entero a cualquiera que cargue la página: un navegador no puede mostrar algo que no le enviaron. Detrás está el almacén, tus datos. En la mayoría de los creadores el almacén es otro edificio con su propia dirección en la misma calle, y que entren desconocidos depende de un ajuste que quizá nunca hayas visto. En Base44 no hay puerta a la calle.

En la práctica eso significa que no hay nada que pegar en un navegador. En una app con Supabase detrás, cualquiera puede sacar la dirección del proyecto de tu paquete, añadir el nombre de una tabla y ver qué vuelve. Haz lo mismo con una app de Base44 y la única dirección que encuentras es la tuya, en tu propio dominio, respondiendo lo que tu app fue escrita para responder.

Se nota en las notas. Entre las apps de Base44 de nuestro análisis de apps publicadas, casi todas sacan una A o una B, y los fallos que arrastran a otros creadores hasta una D apenas aparecen.

También tiene una consecuencia honesta: desde fuera nadie puede verificarlo, nosotros incluidos. Una revisión desde internet solo puede probar puertas que existen. Aquí no hay ninguna, así que no hay nada que informar, y un escáner que imprimiese "base de datos: segura" con esa base estaría inventándose un resultado.

¿Es un problema que haya una clave en tu app de Base44?

Normalmente no, y los dos tipos se parecen muchísimo.

Una clave publicable nombra un proyecto y no hace nada más. Está pensada para leerse, y encontrarla no es un hallazgo. Una clave secreta, del tipo sb_secret_…, service_role o sk_live_…, se salta todas las reglas que hayas escrito y puede leerlo y cambiarlo todo.

Base44 guarda sus propias credenciales en el servidor, así que una clave en tu app normalmente no es de Base44. Viene de algo que conectaste tú: una clave de mapas, de analítica o de pagos pegada para que funcionara una función. La que más encontramos en apps de Base44 es una clave de la API de Google, que conviene entender en lugar de asustarse, porque una sin restricciones la pueden gastar desconocidos. Leer qué clave tienes lleva un minuto.

Si de verdad encuentras un secreto, el orden importa. Cámbiala donde se emitió, en Google Cloud o en Stripe o de donde viniera, y sácala de tu código después. Borrar la línea primero no cierra nada: el valor antiguo ya está en cada copia en caché de tu sitio y en lo que un rastreador se llevara la semana pasada.

El ajuste que está mal en casi todas las apps de Base44

No es una clave, y no es la base de datos. Es con quién está dispuesta a hablar tu API.

Un navegador normalmente impide que una web lea los datos de otra. Esa regla es la razón de que una página que abres no pueda llamar a tu banco y poner tu saldo en pantalla sin que te enteres. Una cabecera de respuesta llamada CORS la levanta, y puesta en * la levanta para todo el mundo: una web de la que nunca has oído hablar puede llamar a la API de tu app desde el navegador de tu visitante y leer lo que vuelve.

En las apps de Base44 que hemos analizado este es el hallazgo más común con diferencia. También es con el que más se discute, y la discusión es legítima, así que aquí va la versión honesta. Un comodín delante de una dirección que exige inicio de sesión es un hallazgo flojo, porque la otra web sigue sin tener credenciales que enviar. Un comodín delante de una dirección que responde a cualquiera es lo serio, y alrededor de la mitad de las apps de Base44 que analizamos tienen al menos una dirección que devuelve datos a una petición simple sin nadie identificado. Son dos problemas distintos bajo una sola etiqueta, y el segundo es el que hay que ir a buscar.

Ninguno de los dos es un error tuyo. Un comodín es lo que publica una herramienta de compilación cuando nadie le ha dicho otra cosa, normalmente para que el dominio de vista previa y el dominio en vivo funcionen los dos mientras construyes. El texto breve tiene el arreglo, que consiste en poner tu propio dominio en lugar del asterisco.

Tu código original, publicado junto a la app

El segundo hallazgo más común, y el que puedes comprobar sin ninguna herramienta.

Un source map es un archivo que convierte el JavaScript comprimido que ejecuta el navegador en lo que tú escribiste, con los nombres de archivo originales, los comentarios y la estructura de carpetas intactos. Las herramientas de compilación los generan para que un error en producción apunte a una línea de verdad y no a la columna 4.812 de un único archivo enorme. Esa parte es de verdad útil. Publicarlos junto a la app es la parte que te cuesta algo.

Alrededor de tres de cada cinco apps de Base44 que analizamos publican los suyos. No se filtra ningún dato por ello, y tu app no se comporta distinto en nada, que es justo por lo que pasa desapercibido durante meses. Lo que cambia es el esfuerzo de todo lo demás: sacar un endpoint de un paquete minificado es trabajo lento y quisquilloso, y leer tu propio código no es trabajo en absoluto. Cualquier otro hallazgo de esta página sale más barato de encontrar en cuanto tu código es legible.

Comprobarlo lleva menos de un minuto. Abre tu app en vivo, pulsa F12 y mira el panel Sources. Si el árbol de archivos de ahí se parece a tu proyecto, con los nombres que les pusiste, los maps salieron con la publicación, y el texto largo explica qué cambiar.

Si enchufaste tu propia base de datos

Entonces la ventaja del principio de esta página no vale para esa parte, y vuelven las reglas de siempre.

Aproximadamente una cuarta parte de las apps de Base44 que analizamos nombra un proyecto de Supabase propio. Ese proyecto responde a internet directamente, igual que el de cualquier otro creador, así que Row Level Security ahora es cosa tuya: un interruptor por tabla que decide fila a fila quién puede leer qué.

Dos cosas deciden si la tienes. Supabase la activa por defecto en las tablas creadas en el Table Editor del panel, y no en las creadas ejecutando SQL, que es como las crean la mayoría de las configuraciones generadas. Y el interruptor es solo la mitad, porque una política que permite a todo el mundo deja la tabla abierta mientras el panel la da por segura.

Con el almacenamiento pasa lo mismo y se olvida fácil, porque vive en otra parte del panel, lejos de las reglas de las tablas. Un bucket marcado como público lo puede listar y descargar cualquiera que sepa que está ahí, enlace o no tu app algún archivo suyo, y los ajustes que lo deciden merecen una lectura tranquila.

Cómo revisar tu app de Base44 en unos diez minutos

Pregunta qué le dice tu API a otros sitios. Es lo que más probablemente esté mal y lo que nadie mira, porque en tu app no se comporta nada raro cuando está demasiado abierto.

Abre tu app en vivo con F12 y lee el panel Sources. Si tus propios archivos aparecen ahí con sus propios nombres, cualquier otra persona puede listarlos igual.

Lee cualquier clave que haya en la app. Con cada una, pregúntate si la pondrías en tu página de inicio. Si la respuesta es no, su sitio es un servidor, y hay que cambiarla en el origen antes de sacarla del código.

Abre Authentication → Policies, si conectaste tu propio proyecto de Supabase. Cualquier tabla que aparezca con Row Level Security desactivada responde a quien tenga la dirección del proyecto, y esa dirección está en tu app.

Y luego mira desde fuera. Los pasos de arriba te dicen qué está configurado. Qué puede alcanzar de verdad un desconocido es otra pregunta, y es la que responde nuestro análisis gratuito. Lee tu sitio en vivo como un visitante y te da una nota en unos 20 segundos, sin cuenta: analiza tu app.

Empieza por las dos que casi siempre merecen la pena: qué le dice tu API a otras webs y si tu código original salió con la app. Después, la lista de seguridad de 10 minutos cubre el resto.