Seguridad en vibe coding. Cómo proteger tu app sin programar

Cuando una inteligencia artificial (IA) te construye una app, te la entrega funcionando y con las puertas abiertas. La seguridad en vibe coding es revisar claves, permisos, límites y datos antes de publicar, desde el panel de tu herramienta y sin saber programar.

Si tu app está hecha con Lovable, Bolt, Cursor o Replit y vas a publicarla, aquí ves qué falla, cómo comprobarlo con la propia IA y cuándo hace falta alguien que programe. Sigue leyendo, que es más corto de lo que parece.

La seguridad en vibe coding no es la prioridad de la IA

La IA se ocupa de que la app haga lo que le pides y no de quién más podría entrar, así que el formulario de registro funciona y su tabla queda abierta a cualquiera. Lo primero se ve en la pantalla, lo segundo no, y por eso nadie lo echa en falta.

El informe de Veracode sobre código generado con IA puso a más de 150 modelos de IA a resolver tareas de programación y solo el 55 % de las veces el código salió seguro, es decir, el 45 % introduce una vulnerabilidad de seguridad conocida.

La firma de seguridad RedAccess localizó unas 5.000 apps de vibe coding casi sin autenticación, y unas 2.000 dejaban además datos privados a la vista, según recogió Xataka, y las encontraron con búsquedas normales en Google.

No es un fallo de la herramienta ni tuyo, es cómo trabaja el modelo que hay detrás de la IA, y cambiar de herramienta no lo arregla. Por eso la revisión te toca a ti, y empieza por saber qué mirar.

Los fallos que la IA deja sueltos y tienes que revisar

Son tres apartados, las claves y los permisos de la base de datos, los límites de uso y los datos personales que guarda la app. Se revisan con la app terminada y antes de darle a publicar, desde el panel de tu herramienta y sin leer una línea de código.

Tus claves de acceso y quién puede tocar la base de datos

Los servicios externos de tu app, como el cobro o el correo, te dan una clave de acceso, una contraseña larga que confirma que eres tú. Esa clave va en el gestor de secretos, el cajón cifrado de tu herramienta, y nunca en el código.

En el código puede quedar a la vista de cualquiera que abra tu app, y con ella alguien puede cobrar o mandar correos como si fueras tú, y a tu cargo. Pídele a la IA que busque nombres como api_key o secret con un valor largo al lado.

El segundo fallo son las tablas, que la IA suele dejar abiertas cuando cada dato debería verlo solo su dueño. Entra con dos cuentas y, si la segunda ve lo que guardó la primera, está abierta. Cerrarla lo tienes paso a paso en los 5 fallos de seguridad que debes revisar antes de publicar.

Pon límites de uso para no llevarte una factura sorpresa

Sin un tope, cualquiera puede lanzar miles de peticiones en minutos y disparar el gasto o llenar tu app de registros falsos. No hace falta un ataque a medida, basta un formulario sin límite y un programa que lo repita.

En Lovable todo sale del mismo saldo de créditos, construir, alojar y la IA que usa tu app, salvo que conectes tu propia clave de OpenAI, Anthropic o Google, que va aparte. El tope de recarga mensual pone techo a la factura, aunque si el saldo se agota la app se pausa para todos.

Los límites de registros nuevos y de correos de verificación se ajustan en Supabase, la base de datos que Lovable y Bolt montan por defecto, en Authentication y Rate Limits. Ese panel solo llega hasta ahí, así que el límite sobre lo que hace tu app, como cuántas veces puede enviar un formulario cada usuario, se lo pides a la IA para que lo escriba.

Los datos personales que tu app guarda sin que lo sepas

Para saber qué datos personales guarda tu app, abre el panel de la base de datos y mira dos sitios, la tabla de usuarios y las tablas donde se guarda lo que la gente escribe en tus formularios. Ahí aparecen nombres, correos, teléfonos y a veces direcciones que la IA añadió sola. El criterio es simple, si no lo usas, no lo pidas.

Con las tablas cerradas, esos datos solo los ve su dueño dentro de la app, pero pueden estar saliendo por otro lado, en una página de perfil que se ve sin iniciar sesión o en un archivo que se abre con solo tener el enlace. Para comprobarlo, abre tu app en una ventana de incógnito, sin sesión, y todo lo que veas ahí lo ve cualquiera.

Y con usuarios en la Unión Europea, el Reglamento General de Protección de Datos te obliga a informar de qué guardas y para qué. Es otra razón para borrar lo que sobra, porque cuanto menos guardes, menos tienes que explicar.

Todo lo anterior cabe en una tabla, más dos comprobaciones del mismo repaso, que los archivos de la app no se abran sin permiso y que los formularios no acepten cualquier cosa.

Tabla con las seis comprobaciones de seguridad de una app de vibe coding, la señal de problema y qué hacer

Deja que la propia IA te audite la app

Tres de las cuatro herramientas ya hacen parte del trabajo. Lovable lanza un escaneo de 10 a 15 segundos al publicar y, si hay fallos críticos, ofrece uno profundo de 2 a 4 minutos. Bolt tiene en su menú de publicar el botón Run security audit, que tarda 2 o 3 minutos y aplica los arreglos solo.

Replit lo hace desde el panel Security, botón Run Scan with Agent, y propone arreglos que apruebas uno a uno. En Cursor esa revisión solo está en los planes de equipo, así que se la pides a la IA con este prompt, que en las otras tres sirve de repaso extra.

Revisa todo el código de esta app como auditor de seguridad.
Busca claves en el código, tablas abiertas a otros usuarios y falta de límites de uso.
Busca datos personales que sobran o se exponen, archivos descargables sin permiso y formularios sin validar.
Dime qué comprobaciones no cumple y dónde. No cambies nada todavía.

Lánzalo en el modo de conversación, el que responde sin tocar código, y guárdalo para las instrucciones del siguiente proyecto. Eso sí, la IA lee el código, no prueba la app publicada, así que lo que dé por cumplido lo compruebas en el panel de base de datos y el gestor de secretos.

Las señales de que tu app necesita ojos de un programador

Hay casos en los que revisar desde el panel no basta y hace falta que alguien que sepa leer código mire la app. Unos dependen de lo que vas a hacer con ella y otros de cosas que ya están pasando, y si te reconoces en cualquiera de estas cuatro señales, toca pedir esa revisión.

• Vas a cobrar pagos. La confirmación de cada cobro se puede falsificar si no está bien comprobada.

• Vas a guardar datos sensibles. Salud, documentos de identidad o cuentas bancarias piden más que cerrar tablas.

• El consumo no cuadra. Los créditos suben sin que suban los usuarios.

• Ves registros que no reconoces. Correos extraños o campos con texto que parece código.

Antes de buscar ayuda, rota las claves, es decir, genera nuevas y borra las antiguas, y pídele a la IA que cierre los permisos de las tablas, para que quien llegue se encuentre lo urgente ya tapado. Y que no te asuste el paso, la revisión es puntual, alguien mira la app, te dice qué corregir y se va, sin que tengas que mantener a nadie fijo en el proyecto.

‍

Una app que funciona no es una app lista, y la seguridad en vibe coding es esa diferencia, la que nadie nota hasta que alguien la aprovecha. Son las claves en su sitio, las tablas cerradas, los límites puestos y los datos bajo control, y todo eso se hace en una tarde con la propia IA.

Para construir así desde el principio, en el curso de vibe coding con Claude Code aprendes a pedir con criterio y a revisar lo que la IA te devuelve antes de darlo por bueno.