Claude revisa
- Validación de todo lo que entra
- Contraseñas hasheadas
- Secretos fuera del repo
- Auth en el server, no solo en el front
- Rate limit en login y reset
- Timeouts en llamadas externas
- Pagos idempotentes
- Transacciones si hay más de una escritura
- Índices en lo que filtrás
- Migraciones versionadas
- Logs con request id, sin tokens
- Health check que revise la base
- Backups y un restore probado
- CORS cerrado
- 429 cuando te saturan, no 500
- Un usuario no puede leer el id del otro