El producto hecho con IA ya vendía. Faltaba saber qué se iba a romper

Forja hizo lo que todo producto nuevo debería hacer: llegó al mercado antes de quedar bonito. Los fundadores construyeron la plataforma conversando con una IA — sin equipo de ingeniería, sin arquitectura diseñada, sin repositorio con dueño. Cuando entró Epicora, en febrero de 2026, había 1.312 usuarios activos, planes mensuales, trimestrales, semestrales y vitalicios en venta, y todo el roadmap de gamificación funcionando: XP, streaks, logros, ranking, tienda de monedas, desafíos semanales, duelos entre usuarios. Más de 40 tablas, 14 páginas, ocho funciones de servidor. Funcionaba, y vendía.

Ahí llegó la cuenta. No como pantalla rota, sino en las tres cosas que el vibe coding no resuelve por su cuenta: quién puede llamar a qué, quién paga la infraestructura y qué pasa el día en que algo salga mal. El diagnóstico se hizo sobre el código, la base de datos y la configuración de la plataforma en producción, y salió con nueve hallazgos — dos de corrección inmediata.

• Los ocho endpoints de servidor aceptaban peticiones sin autenticación. Entre ellos los de pago: sin verificación de firma, quien descubriera la URL podía simular una compra aprobada y darse una suscripción vitalicia, acreditarse monedas ilimitadas o cancelar la suscripción de otra persona. Uno de ellos permitía borrar registros históricos del sistema.
• Datos estrictamente privados estaban visibles para toda la base. Las tareas, hábitos, metas y los registros diarios de sueño, ánimo y productividad de cualquier usuario podían ser leídos por cualquier otro — y parte de ellos, sin siquiera estar autenticado. Una tabla tenía una regla que permitía a cualquiera crear, editar y borrar registros de cualquier otro.
• Las credenciales de la base estaban versionadas en el repositorio — el archivo de entorno no estaba en `.gitignore`, lo que expone la infraestructura y sobrevive en el historial de Git incluso después de eliminarlo.
• La regla de negocio vivía en el navegador del usuario. Sin capa de servidor, incluida la que decide cuánto XP gana alguien — el equipo ya vigilaba manualmente, desde el panel, quién estaba haciendo trampa en su propio juego.
• La factura de infraestructura crecía sin visibilidad. El entorno corría en la nube gestionada de la propia herramienta de IA, con cobros diarios que pasaron días sin que nadie los notara, y compra de crédito por encima del consumo real: cerca de R$ 2.000 al mes.
• Ninguna prueba automatizada, ningún monitoreo, ningún entorno de homologación y ninguna documentación. Los cambios iban directo a producción, sobre usuarios que pagaban, y si un pago fallaba nadie era avisado. El conocimiento de cómo funcionaba la plataforma vivía en la conversación con la IA.

La primera decisión es la que más importa en un diagnóstico: separar el riesgo de la preferencia. Un producto con suscriptores pagando no puede detenerse para quedar elegante, y la mayor parte de lo que un ingeniero critica en código generado por IA es estética, no riesgo. Así que cada hallazgo salió con la misma forma — criticidad, urgencia, qué estaba configurado, la evidencia en el código y el ataque que permitía — y la fila se ordenó por consecuencia, no por gusto: primero lo que causa pérdida directa y filtra dato personal, después lo que impide crecer, y la deuda técnica al final.

Las dos correcciones críticas entraron primero, y ambas eran sobre dinero y cuentas de usuario: verificación de firma en los webhooks de pago, rechazando antes de cualquier procesamiento la petición sin el secreto correcto, y token válido obligatorio en las funciones administrativas, que dejaron de aceptar llamadas anónimas. Después vino el resto: las políticas de acceso a la base reescritas para que cada persona alcance estrictamente su propio registro, credenciales fuera del código, orígenes de petición restringidos, límite de intentos en el login y en la verificación de correo, y el almacenamiento de archivos aislado por usuario.

El segundo frente fue el costo. La infraestructura salió de la nube gestionada de la herramienta de IA — la opción más cara y menos visible — hacia una base gestionada propia más hosting de front dedicado, con backup automático y dominio propio. La cuenta bajó de cerca de R$ 2.000 al mes a cerca de US$ 20 al mes. Usuarios y los propios dueños relataron una plataforma más rápida después de la migración. Y el tercer frente fue escribir lo que no existía: Términos de Uso y Política de Privacidad conformes a la LGPD brasileña, con base legal por finalidad, retención, eliminación de cuenta y qué ve un usuario de otro en el ranking y en los duelos.