Antes de abrir la puerta
Publicar no es subir archivos. Un lanzamiento responsable incluye revisar accesos, datos y recuperación. Esta lista sirve tanto para un sitio informativo como para una aplicación con usuarios.
Accesos y secretos
- Contraseñas únicas y gestor de contraseñas para el equipo.
- Autenticación en dos pasos en hosting, dominio y repositorio.
- Secretos en variables de entorno, nunca en el código.
- Permisos mínimos para cada persona y revocación al salir del proyecto.
Aplicación
- Validación en cliente y servidor.
- Consultas parametrizadas y protección de rutas privadas.
- Sesiones con expiración y cookies seguras.
- Protección contra spam en formularios públicos.
- Mensajes de error que no revelen información sensible.
Infraestructura
- HTTPS activo y redirección desde HTTP.
- Respaldos automáticos y una prueba real de restauración.
- Monitoreo de disponibilidad y registro de errores.
- Dependencias actualizadas y plan de mantenimiento.
- Correo transaccional con dominio verificado.
Lo que no debes hacer
No almacenes números completos de tarjetas ni contraseñas en texto plano. No confíes en una validación que solo ocurre en el navegador. No asumas que un servicio gratuito tendrá límites gratuitos para siempre.
La seguridad no es una fase final; es una serie de decisiones pequeñas que se revisan antes y después del lanzamiento.