7 errores de vibe coding que revientan tu app en producción

1. Claves de API expuestas en el navegador

Es el fallo número uno y el más grave. Cuando le pides a una IA que conecte un servicio, tiende a poner la clave donde funcione más rápido: en el código del cliente. Cualquiera que abra las herramientas de desarrollo del navegador la ve. Si esa clave da acceso de escritura a tu base de datos o a un servicio de pago, el problema deja de ser técnico y pasa a ser económico.

Solo deben viajar al cliente las claves diseñadas para ser públicas. Todo lo demás vive en el servidor.

2. Confundir el sandbox con la realidad

Los entornos de previsualización de estas herramientas corren con permisos elevados que no existen fuera. Tu app funciona en el preview porque ahí nada le dice que no. En cuanto la despliegas, aparecen los errores 401 y 403 que nunca habías visto. No es que se haya roto al desplegar: es que hasta ese momento nada estaba comprobando permisos.

3. Políticas de acceso a datos sin configurar

En bases de datos como Supabase, la seguridad a nivel de fila decide quién puede leer y escribir qué. Hay dos formas de equivocarse, y las dos son habituales: dejarla desactivada, con lo que cualquiera lee la tabla entera; o activarla sin escribir políticas, con lo que tu propia aplicación deja de funcionar y acabas desactivándola con prisa para salir del paso.

4. Validar solo en el cliente

La IA genera formularios con validación en pantalla, que es la que se ve y la que se pide. Pero esa validación es cosmética: cualquiera puede saltársela enviando peticiones directamente. Si el servidor no vuelve a comprobar lo que recibe, tienes precios manipulables, campos obligatorios vacíos y datos basura en la base.

5. Rutas que devuelven 404 al entrar directamente

Una aplicación de una sola página gestiona la navegación desde JavaScript. Funciona perfecto mientras navegas dentro de ella, pero si alguien entra directo a una dirección concreta —desde un enlace compartido o desde Google— el servidor busca un archivo físico que no existe y responde 404. Se arregla con configuración en el servidor o, mejor, generando HTML por cada ruta.

6. Ser invisible para los buscadores

Si todo tu contenido se pinta con JavaScript, lo que un rastreador recibe es prácticamente una página vacía. Aunque Google ejecuta JavaScript, lo hace peor y más tarde que con HTML servido directamente. A esto se suma que todas las rutas comparten el mismo título y la misma descripción, con lo que compiten entre ellas en lugar de sumar.

7. Imágenes sin optimizar

Es el más fácil de arreglar y el más ignorado. Fotos de tres megas mostradas en un avatar de 160 píxeles, sin conversión a formatos modernos ni carga diferida. Da igual lo bien construida que esté la aplicación: si la primera visita descarga nueve megas de imágenes, la experiencia es mala y las métricas de rendimiento lo reflejan.

Ninguno de estos errores significa que hayas hecho algo mal

Son consecuencia natural de cómo funcionan estas herramientas: optimizan para que veas algo funcionando cuanto antes, no para que aguante en producción. La parte que falta no es más código, son decisiones de arquitectura.

Si te has encontrado con varios de estos puntos, quizá te interese leer cómo pasar de vibe coding a un producto en producción o directamente cuánto cuesta terminar una app hecha con IA.