Apretando las tuercas: Seguridad, pagos y una IA más lista para el prime time

Esta semana, en SixSeven Apps, hemos estado apretando las tuercas finales para que nuestros productos no solo funcionen, sino que lo hagan con la elegancia y la seguridad que se espera cuando empiezas a jugar en serio. Es el tipo de trabajo que no siempre se ve, pero que marca la diferencia entre un 'funciona' y un 'funciona de verdad, y me fío'.

El camino de una idea a una aplicación robusta está lleno de detalles que, si se ignoran, se convierten en agujeros negros. Esta semana ha sido un maratón de tapar esos agujeros, especialmente en Hezu, que se prepara para dar el salto, y en Chordna, donde la precisión es la clave. No se trata de añadir funcionalidades espectaculares (que también llegarán), sino de construir una base sólida, segura y legalmente impecable. Piensen en ello como el trabajo de fontanería y electricidad antes de que llegue el decorador: aburrido, pero absolutamente esencial.

Hezu

En Hezu, la actividad ha sido frenética, con 52 commits que apuntan a una cosa: preparación para el lanzamiento en serio. Si eres desarrollador, sabrás lo que significa la frase 'preparar para producción': no es solo que el código funcione, sino que lo haga de forma resiliente, segura y escalable. Si eres usuario, significa que tu experiencia va a ser más fluida, segura y, sobre todo, confiable. Estamos construyendo el andamiaje para que Hezu pueda crecer sin que se le caigan los tornillos.

Hemos dedicado una cantidad considerable de esfuerzo a la privacidad y el cumplimiento legal, un pilar fundamental en la era digital. Esto incluye el banner de consentimiento de cookies, que ahora aparece en más páginas clave como / y /metodologia, asegurando que la recopilación de datos sea transparente desde el primer contacto. Pero no nos quedamos ahí: hemos implementado una Content Security Policy (CSP) robusta. Para los más técnicos, esto no es solo un header HTTP; es una capa de seguridad que define qué recursos (scripts, estilos, imágenes) puede cargar el navegador, mitigando ataques de Cross-Site Scripting (XSS) y otras vulnerabilidades. Nos aseguramos de que incluso las URLs 'limpias' recibieran su CSP, un detalle fácil de pasar por alto pero crítico para una postura de seguridad sólida. Y sí, hemos subido el límite de memoria para la función record_consent para evitar esos molestos cold-start OOM que pueden arruinar la primera interacción de un usuario. Nadie quiere que su consentimiento se ahogue antes de ser registrado, ¿verdad? Es un pequeño ajuste, pero vital para la estabilidad.

La autenticación y la gestión de cuentas también han recibido un lavado de cara importante. Hemos integrado una entrada de login más visible en la cabecera y un modal de 'enlace mágico' para un acceso sin fricciones. La promesa es simple: un clic y estás dentro. Pero, claro, la magia tiene sus trucos y sus trampas: hemos tenido que parchear varios hotfixes para asegurar que el magic-link no caduque silenciosamente o que los tokens de sesión no se vuelvan 'stale' y te echen de la aplicación en el momento menos oportuno. La idea es que, si te logueas, te quedes logueado hasta que decidas lo contrario, no porque un fallo transitorio del backend te dé la patada. Esto incluye arreglos para evitar cierres de sesión falsos y asegurar que el token de ID se envíe correctamente en todas las llamadas importantes, como generate_idea.

Y, por supuesto, no podemos hablar de 'lanzamiento en serio' sin mencionar los pagos. Hemos estado afinando la integración con Stripe, asegurándonos de que los price IDs estén listos para producción y que la experiencia de checkout sea localizada, enviando el idioma del usuario directamente a Stripe. Esto es crucial para que, cuando llegue el momento de ofrecer funcionalidades premium, el proceso sea tan transparente y fiable como el resto de la aplicación, sin sorpresas ni fricciones innecesarias.

Finalmente, hemos revisado a fondo la documentación interna (docs(specs), docs(api)) para que refleje la realidad del código, archivando funcionalidades descartadas y clarificando las que están en marcha. Una base de código bien documentada es una base de código feliz, y un Jesús feliz es un Jesús productivo. También hemos desplegado una nueva landing /67 para campañas específicas de WhatsApp, lo que demuestra que, mientras construimos la casa, también pensamos en cómo invitar a la gente a entrar.

Chordna

Chordna, nuestro agente especializado en análisis musical, también ha tenido su ración de mimos. Con 12 commits, la mayoría enfocados en la fiabilidad del análisis de IA y la experiencia de usuario. Porque de qué sirve tener un cerebro artificial si no es preciso y fácil de usar.

El corazón de Chordna es su capacidad para entender y procesar canciones, extrayendo acordes de letras y estructuras complejas. Esta semana, hemos dado al 'juez' de nuestro LLM una segunda oportunidad y un presupuesto real (give the LLM judge a second attempt and a real budget). Esto significa que, si la primera pasada del modelo no es concluyente o el resultado no cumple con nuestros estándares de calidad (sí, tenemos estándares para la IA), no se rinde; tiene recursos computacionales y tiempo para reevaluar y mejorar su veredicto. Para el usuario, esto se traduce en menos 'no encontrado' y más 'aquí tienes los acordes que buscabas', incluso para canciones más complejas o con letras ambiguas. Es un ajuste fino que mejora la robustez del sistema ante la ambigüedad inherente del lenguaje natural y la música. También hemos corregido un error donde un cache hit se confundía con un análisis completado, lo que a veces llevaba a resultados desactualizados o incompletos. Ahora, el sistema es más honesto consigo mismo y con el usuario sobre el estado real de un análisis.

Además, hemos mejorado la exploración y el descubrimiento de contenido. El modo aleatorio de 'Explorar' ahora abarca todo el catálogo, no solo un subconjunto, lo que te permite descubrir gemas ocultas con mayor facilidad. Y nos hemos asegurado de que los títulos cortos de canciones se emparejen con una coincidencia exacta, no una difusa, para evitar confusiones. Porque nadie quiere buscar 'Sol' y que le salgan los acordes de 'Sol y Luna' cuando solo quería el astro rey. Pequeños detalles que suman a una experiencia más precisa y menos frustrante para el músico.

sixsevenapps y ai-platform

Aunque no son productos que el usuario final toque directamente, nuestros repositorios de plataforma y herramientas internas son el motor que lo hace todo posible. En sixsevenapps, los chore(journal) y chore(newsletter) son la prueba de que nuestros agentes de automatización están trabajando diligentemente, generando estas mismas entradas y los boletines semanales sin intervención manual. Es un meta-trabajo que asegura que la comunicación fluya y que tú estés al tanto de lo que cocinamos.

En ai-platform, hemos dado un paso importante en seguridad operativa. Ahora, cada hallazgo de nuestro escáner de secretos (que busca por ejemplo claves API o credenciales que puedan haberse colado accidentalmente en el código) no solo se notifica en Slack, sino que se 'entrega al Closure Loop' (hand each finding to the Closure Loop, not just to Slack). Para los no-devs, el 'Closure Loop' es nuestro sistema interno para gestionar y resolver problemas de forma automatizada y auditable. Esto significa que cualquier secreto accidentalmente expuesto entra en un proceso automatizado de remediación, verificación y cierre, asegurando que no se quede en el limbo o dependa de una acción manual que podría olvidarse. Es una mejora de proceso que, aunque invisible, es fundamental para la integridad y seguridad de todo el ecosistema de SixSeven Apps. También hemos limpiado algunos tests para que no caduquen por fechas de calendario, un pequeño detalle que evita dolores de cabeza futuros y asegura que nuestras pruebas sigan siendo relevantes y fiables con el tiempo.

En resumen, esta semana ha sido de poner los cimientos de hormigón armado para lo que viene. El futuro nos espera, y queremos que nos encuentre bien calzados.