Qué revisar antes de publicar una nueva aplicación en internet

Describe exactamente qué se abre

Dibuja el recorrido desde el nombre público hasta la aplicación, sus datos y sus dependencias. Separa usuarios finales, panel administrativo, API y comprobaciones de salud. Especifica qué necesita acceso público y qué debe quedar restringido. Revisa que el despliegue no publique también puertos de depuración, páginas de prueba o una segunda entrada que eluda el control previsto.

Prueba los permisos antes de anunciarla

Usa cuentas de prueba con distintos perfiles y verifica acciones permitidas y rechazadas. Comprueba acceso sin sesión, lectura de datos ajenos y operaciones de modificación. Un botón oculto no acredita que el servidor impida la acción. Define quién autoriza altas y cambios de rol; poseer credenciales técnicas de despliegue no concede permiso empresarial para consultar información de clientes. Evita utilizar datos reales innecesarios durante estas pruebas.

Asegura una operación que pueda sostenerse

Identifica responsable de parches, dependencias, certificados y alertas. Comprueba que los secretos no viajan en el código servido al navegador ni aparecen en mensajes de error. Establece qué sucesos deben registrarse y cómo accederá soporte sin exponer información sensible. Documenta una vía para restringir la publicación y un procedimiento de recuperación cuyo alcance incluya los datos modificados desde la salida.

Pon condiciones concretas a la aprobación

Recoge resultados, incidencias abiertas y quién acepta cada limitación antes de cambiar DNS o activar la ruta pública. Si falla una prueba de autorización o no puedes retirar el acceso, corrige ese bloqueo. Los defectos menores necesitan dueño y plazo, no una aprobación genérica. Tras publicar, repite una operación realista desde una red externa y verifica que los accesos administrativos siguen restringidos. Conserva la configuración aprobada como referencia para detectar cambios posteriores. Registra quién comprueba ese resultado.

Fuentes y documentación

• NCSC · Constrain the use of all device interfaces — Identificar servicios e interfaces y poder desactivar lo innecesario; su guía se dirige a fabricantes y no prescribe una configuración universal.
• Microsoft Azure Well-Architected · Protecting application secrets — Distingue secretos y configuración no secreta, y plantea reducir y restringir secretos de aplicaciones.