Checklist de seguridad de SaaS:5 controles clave

Una checklist de seguridad de SaaS de cinco controles evita el 99 % de los desastres de seguridad en un SaaS: aislamiento de datos, contraseñas seguras, validación de entradas, aplicación de permisos y saneamiento de entradas. No necesitas convertirte en experto en seguridad para pasarlos. Necesitas saber que los cinco controles existen, preguntarle a tu asistente de IA si cada uno está implementado y exigir arreglos donde no lo esté. Esta es la checklist completa: la prueba de cada control, la solución y el prompt para copiar y pegar que audita los cinco de una vez.

Esta es la verdad que no te cuenta nadie que te venda «la IA construye tu app en un fin de semana»: la IA construirá encantada una app insegura si nunca le pides seguridad. Estos cinco controles son lo que separa las apps de aficionado de las profesionales, y un solo agujero de seguridad puede destruir tu negocio antes de empezar.

La checklist de seguridad de SaaS de 5 controles

Todos los controles siguen el mismo patrón: ejecuta la prueba y, si falla, pega el prompt de solución en tu herramienta de IA. Vamos uno por uno.

Control 1: ¿pueden los usuarios ver los datos de otros?

La prueba es brutalmente simple. Inicia sesión como el Cliente A, cambia la URL o haz clic por ahí y comprueba si puedes llegar a los datos del Cliente B. Si puedes, tienes un problema enorme: de los que se convierten en una infracción del RGPD, luego en una demanda y luego en un negocio muerto.

La solución es la seguridad a nivel de fila (Row-Level Security): reglas que viven en la propia base de datos, de modo que aunque haya un bug en tu código, la base de datos bloquea el acceso. Dile a tu IA: «Añade Row-Level Security para que los usuarios solo vean los datos de su propia organización.» Piensa en ello como poner una cerradura en la puerta de cada piso en lugar de confiar en que nadie entre en el piso equivocado. Este control merece su propio artículo, y lo tiene: la seguridad a nivel de fila explicada para fundadores no técnicos lo cubre como es debido.

Control 2: ¿son realmente seguras tus contraseñas?

Pregúntale a tu IA: «¿Cómo se guardan las contraseñas en la base de datos?» Hay dos malas respuestas. «En texto plano» es un desastre: nunca es aceptable. «Cifradas» suena seguro pero no lo es, porque el cifrado es reversible. Las buenas respuestas son «con hash usando bcrypt o scrypt» (irreversible) o, la mejor de todas, «las gestiona Supabase Auth».

La solución real aquí es una decisión, no código: no construyas tu propio sistema de contraseñas. Supabase Auth se encarga del hash de contraseñas, el restablecimiento de contraseña, la verificación de email, la gestión de sesiones y la autenticación multifactor: problemas que los equipos profesionales de seguridad ya han resuelto. Construir tu propia versión es como apuntar todas tus contraseñas en un papel junto a la puerta de entrada en lugar de instalar un sistema de seguridad en condiciones. Si las contraseñas se filtran, todas las cuentas quedan comprometidas y los usuarios no vuelven a confiar en ti.

El libroThe Solopreneur RevolutionLuis Gonçalves sobre cómo crear un negocio de solopreneur con IA sin dejar tu empleo.Consigue el libro →

Controles 3 y 4: datos malos y permisos rotos

Control 3: ¿pueden entrar datos malos? Intenta crear un registro con campos obligatorios vacíos, un nombre de 10.000 caracteres, un formato de email no válido o un número negativo donde solo tienen sentido los positivos. Si tu app lo acepta, no tienes validación, y los datos malos rompen las funciones de formas raras que tus usuarios encontrarán antes que tú. El prompt de solución: «Añade validación que compruebe que los campos obligatorios están rellenos, que los campos de texto tienen longitudes máximas, que los emails tienen un formato válido, que los números están en rangos aceptables y que las fechas son válidas.»

Control 4: ¿pueden los usuarios hacer cosas que no deberían? Inicia sesión como un usuario normal, no como administrador, e intenta borrar a otros usuarios, cambiar los ajustes de suscripción o acceder a páginas de administración. Si puedes, tu sistema de permisos está roto: el equivalente digital de darle a cada vecino una llave maestra de todos los pisos. El prompt de solución: «Añade comprobaciones de permisos: los usuarios normales solo pueden editar lo suyo, solo los administradores pueden borrar usuarios, solo los propietarios pueden cambiar la suscripción, y comprueba los permisos antes de permitir las acciones.» Sin esto, un usuario normal lo borra todo y te pasas la semana devolviendo dinero a clientes enfadados.

Control 5: ¿es seguro mostrar lo que escribe el usuario?

Este es el más sibilino. Pregúntale a tu IA: «Si un usuario introduce HTML o JavaScript en un campo de texto, ¿se ejecutará en las pantallas de otros usuarios?» Si la respuesta es sí, tienes una vulnerabilidad XSS: tus usuarios pueden hackearse entre sí. El Usuario A pone un script en el nombre de su perfil; el Usuario B abre ese perfil; el código malicioso se ejecuta en la pantalla del Usuario B y le roba los datos. Responsabilidad legal, reputación destruida.

El prompt de solución: «Sanea toda entrada de usuario antes de mostrarla. Elimina cualquier HTML, JavaScript o código peligroso.» Es poner reglas en la puerta sobre lo que se permite entrar: nada explosivo.

La auditoría de seguridad de 5 minutos

No tienes que pasar los controles uno a uno. Pega esto en tu herramienta de IA y deja que haga el trabajo:

Audita esta app en busca de problemas de seguridad:

1. ¿Pueden los usuarios ver los datos de otras organizaciones? (Comprueba Row-Level Security)

2. ¿Cómo se guardan las contraseñas? (Debería usarse Supabase Auth)

3. ¿Se validan las entradas de usuario? (Comprueba campos obligatorios, límites de longitud, validación de formato)

4. ¿Se aplican los permisos? (¿Pueden los usuarios normales hacer acciones de administrador?)

5. ¿Se sanean las entradas de usuario antes de mostrarse? (Comprueba la prevención de XSS)

Por cada problema encontrado, explica el riesgo y cómo solucionarlo.

Te dirá qué está mal. Arregla lo que esté roto, empezando por cualquier cosa que toque el aislamiento de datos.

Mejor aún, integra la seguridad en la forma en que pides las funciones desde el principio. «Constrúyeme una app de gestión de contactos» te da algo que funciona pero es inseguro. «Constrúyeme una app de gestión de contactos con Row-Level Security, Supabase Auth para las contraseñas, validación de entradas, comprobaciones de permisos y entradas de usuario saneadas» te da algo seguro por defecto. La seguridad es una de las cinco dimensiones que vale la pena auditar antes del lanzamiento: la auditoría completa de calidad del código puntúa todas.

Pasa la auditoría. Arregla lo que esté roto. Duerme tranquilo. Constrúyelo seguro desde el primer día, porque readaptar la seguridad después de una brecha es un trabajo que nunca querrás.

12 semanasTu carrera corporativa nunca fue el planSolicita plaza en el Solopreneur Accelerator.Solicitar ahora →

Preguntas frecuentes

¿Necesito ser experto en seguridad para lanzar un SaaS?

No. Necesitas tres cosas: saber que existen estos 5 controles, preguntarle a tu asistente de IA si cada uno está implementado y exigir arreglos donde falten. Los controles cubren los fallos que evitan el 99 % de los desastres: aislamiento de datos, contraseñas, validación, permisos y XSS.

¿Qué control de seguridad importa más?

El aislamiento de datos. Si el Cliente A puede ver los datos del Cliente B, te enfrentas a una infracción del RGPD y a una demanda: el modo de fallo que destruye negocios de golpe. Row-Level Security lo soluciona a nivel de la base de datos, de modo que ni siquiera un código con bugs puede filtrar datos entre clientes.

¿Debo construir mi propio sistema de inicio de sesión y contraseñas?

No. Usa Supabase Auth. Se encarga del hash de contraseñas, los restablecimientos, la verificación de email, la gestión de sesiones y la autenticación multifactor: todos los puntos donde falla la autenticación casera. El almacenamiento propio de contraseñas es la forma en que «contraseñas en texto plano» acaba en un titular con el nombre de tu producto.

¿Cuándo debo pasar la auditoría de seguridad?

Antes de que tu primer usuario real toque la app, y de nuevo cada vez que añadas una función que guarde o muestre datos de usuarios. La auditoría lleva cinco minutos con el prompt de copiar y pegar de arriba; no existe ninguna versión de tu hoja de ruta en la que saltársela sea el trato inteligente.