Checklist de preparación para producción

Inicia sesión para guardar tu progreso en todos tus dispositivos. Mientras tanto, se guarda en este navegador.

Cada elemento necesita evidencia (un enlace a una ejecución de pruebas, un escaneo, una captura de pantalla o un log). "Lo dijo la IA" no es evidencia.

Puerta 1: HAZLO YA (antes de usuarios, datos o dinero reales) → L1 Vibe Builder

Seguridad

• Cada tabla tiene Row-Level Security o aislamiento por tenant; probado que el usuario A no puede leer ni escribir los datos del usuario BEvidencia
• Autorización verificada en el servidor en cada endpoint y cada objetoEvidencia
• Cero secretos en el historial de git o en el bundle del frontend (gitleaks + búsqueda en el bundle)Evidencia
• Topes de gasto en cada API de pago (LLM, SMS, email, mapas)Evidencia
• Rate limits en login, registro, restablecimiento de contraseña, OTP y endpoints costososEvidencia
• Proveedor de autenticación probado; cookies seguras; MFA disponible para administradoresEvidencia
• Solo consultas parametrizadas; salida escapada; CSP configuradaEvidencia
• Protección contra SSRF en cualquier funcionalidad que descargue URLsEvidencia
• Allowlist de CORS; protección CSRF cuando la autenticación usa cookiesEvidencia
• TLS en todas partes, incluidas las conexiones a la base de datos; HSTSEvidencia
• Cifrado en reposo en la base de datos, el almacenamiento y las copias de seguridadEvidencia
• Los errores fallan de forma cerrada (fail closed); nada de stack traces para los usuariosEvidencia

Corrección y datos

• Las restricciones de la base de datos garantizan los invariantes claveEvidencia
• Índices en las columnas usadas en filtros y joins; nada de N+1 en las páginas principalesEvidencia
• Connection pooling para serverlessEvidencia
• Idempotencia en pagos, pedidos y cualquier efecto secundario externoEvidencia
• Prueba de concurrencia en los flujos de dinero e inventarioEvidencia
• Todos los cambios de esquema mediante migraciones versionadasEvidencia

Fiabilidad

• Timeout en cada llamada salienteEvidencia
• Reintentos solo ante errores transitorios, con backoff y jitterEvidencia
• Webhooks: firma verificada, deduplicados y procesados de forma asíncronaEvidencia
• Cron jobs idempotentes y monitorizadosEvidencia

Publicación y operaciones

• La CI ejecuta lint, tipos, pruebas y escaneos en cada PR; main está protegidaEvidencia
• Lockfile en el repo; verificado que cada dependencia nueva existe y se mantieneEvidencia
• Rollback demostrado en menos de un minutoEvidencia
• Endpoint de health check; monitor de disponibilidadEvidencia
• Logs estructurados con IDs de solicitud, sin secretos ni datos personalesEvidencia
• Alertas por tasa de errores, picos de gasto y caídasEvidencia
• Copias de seguridad automáticas + una restauración exitosaEvidencia
• CDN delante de los recursos estáticos; registros DNS documentadosEvidencia

Funcionalidades de IA

• Ningún agente tiene credenciales de producciónEvidencia
• Aprobación humana en cada acción irreversible o externa de un agenteEvidencia
• La salida del LLM se trata como entrada no confiableEvidencia
• Presupuestos de tokens y número máximo de pasos por ejecuciónEvidencia

Legal

• Aviso de privacidad; consentimiento registrado; vías para exportar y eliminar datosEvidencia
• Checklist de respuesta ante brechas con plazos de notificaciónEvidencia

Puerta 2: CRECIMIENTO (clientes que pagan, equipo o tráfico sin supervisión) → L2 Vibe Engineer

• Caché con invalidación explícita; nada de datos privados en cachés compartidasEvidencia
• Sistema de trabajos en segundo plano con DLQ y replayEvidencia
• Circuit breakers y fallbacks en las dependencias críticasEvidencia
• Probes de liveness y readiness separadasEvidencia
• Trazado con OpenTelemetry a través de API, cola, worker y LLMEvidencia
• SLOs en los recorridos críticos, con alertas por burn rate y runbooksEvidencia
• Feature flags; despliegues progresivos (rolling)Evidencia
• Migraciones expand-and-contractEvidencia
• Versionado de API + política de deprecación; pruebas de contrato con OpenAPIEvidencia
• Rotación de JWT / tokens de vida corta; SSO para clientes enterpriseEvidencia
• WAF y protección contra botsEvidencia
• Infraestructura como códigoEvidencia
• SBOM + escaneo de dependencias y contenedoresEvidencia
• Suites de evals y red-team para las funcionalidades con LLM en la CIEvidencia
• Registro de auditoría de las acciones de administradores y agentesEvidencia
• RPO/RTO definidos; PITR; copias inmutables fuera de la cuenta; simulacro de restauración trimestralEvidencia
• Guardias (on-call), proceso de incidentes, página de estado, postmortemsEvidencia
• Capacidad documentada con pruebas de cargaEvidencia
• Costo por usuario y por tarea de IA monitorizadoEvidencia

Puerta 3: ESCALA / ENTERPRISE → L3 Enterprise Vibe Architect

• Canary o blue-green con análisis automatizadoEvidencia
• Réplicas de lectura con estrategia read-your-writesEvidencia
• Particionado de tablas para datos de gran volumenEvidencia
• Autoescalado con límites probadosEvidencia
• Alta disponibilidad multizona; plan de recuperación ante desastres para la pérdida de una región o proveedor, probadoEvidencia
• Game days de caos programadosEvidencia
• Política de error budget acordada con el negocioEvidencia
• Programa SOC 2 Type II o ISO 27001 con evidencia continuaEvidencia
• Registro de IA y gobernanza alineados con IMDA MGF / ISO 42001 / NIST AI RMFEvidencia
• Normativa sectorial atendida (p. ej. MAS TRM para fintech)Evidencia
• Paquete de confianza listo para procesos de compraEvidencia