Qué seguridad trae por defecto cada generador de aplicaciones

Por Kike Gandia · Co-Fundador y CEO, OSCP

Lovable, Bolt, v0, Replit y Base44 comparten una decisión de producto: quitar fricción para que veas tu aplicación funcionando en minutos. Esa decisión tiene consecuencias de seguridad que son idénticas en los cinco y que conviene entender antes de publicar. Esta comparativa describe qué trae cada uno de serie en las cuatro capas donde se concentran los problemas, y qué te queda a ti por cerrar en cada caso. Ninguno de los cinco es inseguro: lo que cambia es cuánto trabajo te dejan hecho y cuánto te avisan.

Comparativa: qué viene de serie y qué te toca a ti

Los cinco delegan el control de acceso en la configuración de la capa de datos. Esa es la conclusión que importa.

Generador	Capa de datos habitual	Autenticación	Control de acceso por defecto	Qué te queda por cerrar
Lovable	Supabase integrado	Incluida, lista para usar	Row Level Security desactivada al crear tablas	Activar RLS y escribir políticas por propiedad
Bolt	Supabase o el que conectes	Según lo que integres	Depende del proveedor que conectes	Todo el control de acceso, más revisar el código generado
v0	La que tú conectes	No incluida de serie	Ninguno: parte de interfaz, no de backend	Backend, autenticación y autorización completos
Replit	Base de datos propia o Supabase	Auth propia disponible	Permisivo mientras desarrollas	Revisar secretos y permisos antes de publicar
Base44	Integrada en la plataforma	Incluida	Modelo de permisos propio, hay que configurarlo	Definir roles y visibilidad de cada entidad

La columna que decide es la cuarta. En los cinco casos, la respuesta a "quién puede leer este dato" no viene resuelta: viene preparada para que la resuelvas tú.

Por qué los cinco se parecen tanto

No es casualidad ni dejadez: es la misma arquitectura. El navegador habla directamente con la base de datos usando una clave pública, sin servidor intermedio que filtre. Es un patrón moderno, eficiente y perfectamente seguro cuando las reglas de acceso están escritas.

La diferencia con un desarrollo tradicional es dónde vive la decisión. Antes, tu servidor decidía qué devolver a cada usuario; ahora lo decide la base de datos, fila por fila, según las políticas que hayas definido. Si no defines ninguna, no hay decisión: se devuelve todo.

Por eso la comparativa importa menos de lo que parece. Elijas el que elijas, el trabajo pendiente es el mismo, y quien te lo va a reclamar —un cliente, un inversor, el RGPD— no pregunta con qué herramienta construiste.

Dónde sí hay diferencias reales

Cuánto te avisan. Supabase marca visualmente las tablas sin RLS y lo documenta de forma prominente. Un generador que construye encima puede mostrar ese aviso o no, y ahí sí hay variación entre productos y entre versiones.

Si hay código que puedas leer. Con v0 y Bolt acabas con código que un desarrollador puede revisar. Con plataformas más cerradas, la revisión es de configuración, no de código. Cambia la forma de auditar, no el riesgo.

Qué pasa con los secretos. Los que ofrecen gestión de variables de entorno del lado servidor te permiten sacar las claves del navegador; los que son solo front, no. Es la diferencia más práctica de toda la tabla.

Qué te llevas si te vas. Poder exportar el proyecto determina si puedes contratar a alguien que lo revise y lo corrija, o si dependes de la plataforma para todo.

Cómo elegir con criterio de seguridad

Si aún estás decidiendo, tres preguntas ordenan la elección mejor que cualquier tabla comparativa:

1. ¿Puedo sacar los secretos del navegador? Si la respuesta es no y tu producto cobra o envía correo, el problema es estructural, no de configuración.
2. ¿Puedo exportar el proyecto? Determina si podrás auditarlo y corregirlo con alguien externo.
3. ¿La plataforma me avisa de lo que queda abierto? Un aviso visible es la diferencia entre olvidarlo y no olvidarlo.

Y si ya has construido, la pregunta es otra y más simple: no cuál elegiste, sino si las reglas de acceso están escritas. Eso se comprueba en quince minutos y no depende del producto.

FAQ

¿Cuál de los cinco es el más seguro?

La pregunta no se sostiene tal cual, porque ninguno impone el nivel de seguridad de la aplicación que construyes con él: lo determina la configuración que dejes puesta. Sí se puede decir que los que permiten mantener secretos en el servidor y exportar el proyecto te dejan en mejor posición, porque eliminan un problema estructural y permiten que alguien externo revise el resultado.

¿Los valores por defecto de esta tabla cambian?

Sí, y con frecuencia: son productos que iteran rápido y varios han endurecido sus opciones por defecto en los últimos meses. Usa la tabla como mapa de qué capas mirar, no como una verdad permanente, y comprueba el comportamiento real de tu propia aplicación, que es lo único que cuenta en una auditoría.

Ya he construido con uno de ellos, ¿me cambio a otro?

Casi nunca merece la pena. Migrar de generador es un proyecto completo y no resuelve el problema, porque el trabajo pendiente —escribir las reglas de acceso, sacar los secretos del front, comprobar la autorización entre usuarios— es el mismo en el destino. Sale mucho más barato cerrar lo que tienes abierto donde ya estás.