Tu app ya funciona.
¿Quién más entra?
Revisamos apps hechas con Lovable, Bolt, Replit, Cursor o Claude Code con las pruebas que haría alguien que busca entrar sin permiso.
Es un diagnóstico de ciberseguridad a precio fijo, hecho por desarrolladores que también programan con IA, que te dice qué corregir primero y cómo.
Cuatro momentos en los que una app hecha con IA deja de ser un prototipo y se vuelve una responsabilidad.
Funciona, la gente se registra y paga, y nadie además de la herramienta de IA ha leído el código.
Pregunta por control de accesos, cifrado y respaldos, y hoy la respuesta honesta a varias es «no sé».
La revisión técnica del inversionista va a abrir el código, y conviene llegar con lo grave ya corregido.
Ya toca datos de clientes o de la empresa, y TI se enteró cuando ya estaba en uso.
Y los estudios que midieron su seguridad apuntan en la misma dirección.
42% del código que suben los desarrolladores ya lo escribió la IA, según su propia estimación. Solo 48% dice revisarlo siempre antes de subirlo.
Sonar, encuesta State of Code 2026 a 1,100+ desarrolladores, enero de 2026
45% de las tareas de prueba terminaron con una vulnerabilidad del OWASP Top 10 cuando el código lo escribió un modelo de IA. Un año después, la cifra seguía casi igual.
Veracode, GenAI Code Security Report 2025 y 2026 (100+ modelos, 80 tareas)
Más confiados y con código menos seguro: así salieron, en un experimento de Stanford, quienes programaron con un asistente de IA frente a quienes no lo usaron.
Perry, Srivastava, Kumar y Boneh, ACM CCS 2023 (47 participantes)
Contesta con lo que sabes hoy. Un «no sé» cuenta igual que un «no»: es un punto que nadie ha comprobado.
Casos documentados por investigadores de seguridad en apps hechas con plataformas de IA.
Escape revisó 5,600 apps hechas con vibe coding y contó, como mínimo, más de 2,000 vulnerabilidades y 175 casos de datos personales expuestos, entre ellos expedientes médicos y números de cuenta bancaria.
De 1,645 proyectos revisados, 170 dejaban leer sin iniciar sesión correos, llaves de API y datos personales, y en algunos también escribir, porque sus tablas no tenían reglas de acceso suficientes. Lovable disputa el reporte: dice que esa configuración le toca a quien hace la app.
Quien lo fundó había dicho que no escribió una sola línea de código. La llave de Supabase vivía en el JavaScript del navegador y las tablas no tenían RLS: cualquiera podía leer y escribir.
En México, si una vulneración de seguridad imputable a la empresa expone datos personales, la multa va de 200 a 320,000 UMA, de unos 23 mil a 37.5 millones de pesos con la UMA de 2026 (Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 58, fracción XI, y 59).
Tres formas de revisar la seguridad informática de una app y qué esperar de cada una.
| Escáner automático | Pentest formal o auditoría certificada | Diagnóstico de Fyware | |
|---|---|---|---|
| Qué revisa | Patrones conocidos en el código y las dependencias | El alcance que fija el contrato o la norma | La app entera: base de datos, accesos, llaves, pagos y funciones de IA |
| Ver datos de otra cuenta | Rara vez lo detecta | Lo prueba si entra en el alcance | Se prueba a mano con dos cuentas de prueba |
| Qué entrega | Una lista larga, con falsos positivos | Informe formal y, en una auditoría, la certificación | Hallazgos confirmados, con evidencia y prioridad |
| Cómo corregir | Una recomendación general | Recomendaciones por hallazgo | La instrucción para tu herramienta de IA y las horas estimadas |
| Cuándo conviene | Siempre, en cada cambio | Cuando un cliente o un regulador pide la certificación | Antes de lanzar, de levantar capital o de firmar con un cliente grande |
| Costo | Gratis o de bajo costo | El más alto de los tres | Precio fijo, por escrito antes de empezar |
El siguiente paso
La IA escribió el código. Ahora que lo revise alguien que no lo escribió.
Salen de lo que documentan los investigadores de seguridad y de lo que hemos visto fallar en código escrito con IA, incluido el nuestro. Cada punto se prueba en tu app.
Los doce puntos se cruzan con el OWASP Top 10:2025, que ya vigila la confianza indebida en el código generado por IA, y con el Top 10 de OWASP para aplicaciones con modelos de lenguaje.
Trabajamos con permisos de solo lectura y sobre el entorno que tú elijas.
Firmamos confidencialidad. Nos das lectura del repositorio, la URL de pruebas y dos cuentas de prueba con roles distintos.
Nuestras herramientas recorren el código, las dependencias, la configuración y las reglas de la base de datos.
Un desarrollador prueba los doce puntos con las dos cuentas, como lo haría alguien que busca entrar donde no debe.
Recibes el reporte y lo repasamos contigo en una llamada, hallazgo por hallazgo y en orden de prioridad.
Una persona y los accesos de lectura; el resto corre por nuestra cuenta.
Para darnos los accesos y estar en la sesión de resultados. No hace falta un área de TI.
Trabajamos con lectura del código y con cuentas de prueba que tú creas y das de baja al terminar.
Precio fijo según el tamaño de la app: pantallas, tipos de usuario e integraciones como pagos o IA, con factura.
Cómo se contrata. El diagnóstico se cotiza solo. Si después quieres que corrijamos los hallazgos, esa parte se cotiza aparte con las horas que ya trae el reporte. El diagnóstico no sustituye una auditoría certificada ni un pentest formal; si un cliente te pide uno, llegas con lo grave ya corregido.
Firmamos nuestro NDA estándar, o el tuyo, antes de cualquier acceso.
No hacemos cambios en tu repositorio ni en tu base de datos.
Probamos sobre el entorno de pruebas. Si la app solo vive en producción, acordamos contigo qué se prueba y cuándo.
Al entregar te pedimos revocar los accesos, y eliminamos la copia del código cuando lo solicites por escrito.
Más sobre cómo maneja Fyware la información de sus clientes en Seguridad y propiedad del dato.
No. Es una revisión técnica de seguridad informática hecha por desarrolladores, con herramientas propias y pruebas manuales, y no emite certificados ni dictámenes. Si un cliente o un regulador te pide una certificación, una auditoría SOC 2 o un pentest formal, necesitas un auditor acreditado; el diagnóstico te ayuda a llegar a esa auditoría con lo grave ya corregido.
Tiene precio fijo y depende del tamaño de la app: cuántas pantallas y tipos de usuario tiene y qué integraciones usa, como pagos o IA. Te lo damos por escrito, con la fecha de entrega, antes de empezar. La corrección de los hallazgos, si la quieres con nosotros, se cotiza aparte.
No. Trabajamos con lectura del repositorio, la URL de pruebas y dos cuentas de prueba que tú creas. Si la app solo vive en producción, acordamos contigo qué se prueba y cuándo.
Más preguntas
Cuéntanos qué hace tu app y con qué herramienta se hizo. Te respondemos con el alcance del diagnóstico, la fecha de entrega y el precio fijo.
Olga Chávez, Gerente Comercial en Fyware® Te respondemos en menos de 24 horas hábiles, con alcance, tiempo y rango de inversión.En la reunión vemos el tamaño de tu app, qué accesos hacen falta y qué incluye el diagnóstico. Y si necesitas venderlo adentro, esta página es tu presentación: compártela con tu equipo.
