2Capítulo 2 · Pensend
Arquitectura y decisiones técnicas
Un SaaS pequeño con decisiones de empresa grande: datos aislados, planes, seguridad por capas y el modelo adecuado para cada tarea
3/6
El stack
Next.js y TypeScript
Aplicación web completa, con los datos en el servidor y solo la interactividad en el navegador.
Supabase
Autenticación y base de datos PostgreSQL con seguridad a nivel de fila en todas las tablas.
Stripe
Suscripciones y facturación, sincronizadas con la aplicación mediante webhooks.
Claude, de Anthropic
Los modelos de IA que mueven a los agentes.
Vercel
Despliegue y tareas programadas diarias.
Español e inglés
Internacionalización completa, con el español por defecto.
Cinco decisiones que explican el producto
- 1Cada usuario solo ve sus datosEl aislamiento no depende del código de la aplicación: lo impone la propia base de datos, tabla a tabla. Las operaciones con privilegios se limitan a unos pocos procesos concretos, como los pagos o el borrado de cuentas.
- 2El modelo adecuado para cada tareaLos agentes principales usan el modelo más capaz. Las herramientas gratuitas, abiertas a cualquiera, usan uno más ligero y barato. Es FinOps de IA aplicado desde el diseño.
- 3En tiempo real o por lotes, según el casoEl artículo largo se escribe en directo para que el usuario lo vea crecer; las tendencias y los carruseles se piden en bloque con una estructura fija, y las adaptaciones a cada canal se lanzan en paralelo.
- 4Los planes se aplican en el servidorCada funcionalidad comprueba el plan del usuario antes de ejecutarse. En la interfaz, lo que no incluye su plan se ve pero aparece bloqueado, y eso funciona como argumento de mejora.
- 5Ventana de uso de 30 días desde el altaLos límites se renuevan cada 30 días contados desde el registro y no por mes natural, para que quien se da de alta a final de mes no obtenga un reinicio casi inmediato.
Seguridad por capas
En la entrada
- Validación de todos los datos que llegan a la API
- Límites de uso por usuario y por origen
- El texto del usuario se aísla del resto de instrucciones para mitigar la inyección de prompts
En la plataforma
- Cabeceras de seguridad del navegador
- Registro de auditoría de las acciones sensibles
- Privilegios elevados solo donde son imprescindibles
Lo que demuestra
"Un producto pequeño no justifica atajos: aislamiento de datos, coste de IA controlado y seguridad por capas desde el primer día."