Guía
Cómo hacer que una web o app hecha con IA funcione de verdad
Para que una web, una app o un chatbot hecho con IA (vibe coding) funcione de verdad con clientes reales hay que revisarlo como software profesional: auditar el código y la seguridad (secretos, permisos, datos), ordenar la arquitectura y la base de datos, agregar pruebas, desplegarlo con entornos separados, respaldos y monitoreo, prepararlo para Google y los asistentes de IA, y asignar a alguien que lo mantenga. Casi nunca hace falta empezar de cero.
¿Qué es el vibe coding?
Merriam-Webster define vibe coding como el acto o la práctica de usar un sistema de inteligencia artificial para generar código de computadora. En la práctica, es describirle a una herramienta como Lovable, Bolt, v0, Cursor o Replit lo que quieres y aceptar el código que genera, muchas veces sin revisarlo línea por línea.
Es una forma excelente de probar una idea en horas en lugar de semanas. El problema aparece cuando ese prototipo empieza a recibir clientes, datos y pagos reales sin que nadie lo haya revisado.
¿Qué le falta a un proyecto hecho con IA para usarlo con clientes reales?
Lo que no se ve en la demo. Los huecos más comunes:
- Claves de API y credenciales visibles en el navegador o en el repositorio.
- Rutas y bases de datos sin autenticación ni reglas de acceso.
- Datos de usuarios sin validar, que abren la puerta a inyecciones y abusos.
- Sin pruebas: cada cambio nuevo puede romper algo que ya funcionaba.
- Sin respaldos, monitoreo ni alertas: los errores se descubren cuando un cliente se queja.
- Un sitio que Google y los asistentes de IA no entienden: sin metadatos, datos estructurados ni contenido legible.
Lista de revisión antes de publicar
Una referencia útil es el OWASP Top 10, la lista de riesgos de seguridad web más conocida. Antes de abrir tu proyecto al público, revisa como mínimo:
- Seguridad: secretos fuera del código del navegador, autenticación en cada ruta privada, permisos mínimos y validación de todo lo que envía el usuario.
- Datos: base de datos con reglas de acceso, respaldos automáticos y un plan para recuperarlos.
- Calidad: pruebas para los flujos que generan dinero o manejan datos (registro, pago, pedido).
- Publicación: una versión de pruebas separada de la que usan tus clientes, y una forma repetible de publicar cambios.
- Operación: monitoreo, registro de errores y alertas a una persona responsable.
- Visibilidad: título y descripción por página, datos estructurados, velocidad en el celular y registro en Google Search Console.
¿Y si el proyecto usa un chatbot o un agente de IA?
Las aplicaciones con modelos de lenguaje tienen riesgos propios, que OWASP recoge en su Top 10 para aplicaciones con LLM: inyección de instrucciones (prompt injection), filtración de información sensible y agentes con más permisos de los necesarios, entre otros.
Se controlan limitando el asistente a la información de tu negocio, dándole los permisos mínimos, probándolo con conversaciones reales y dejando que una persona apruebe las acciones importantes.
¿Hay que rehacerlo desde cero?
Casi nunca. La mayoría de los proyectos hechos con IA tienen una base aprovechable: la interfaz, los flujos y buena parte de la lógica. Una auditoría define qué se conserva, qué se corrige y qué conviene rehacer, empezando siempre por la seguridad y los datos.