Lo escuchamos cada semana: "Le pedí a la IA que me hiciera la web y en una tarde la tenía lista. ¿Para qué voy a pagar una agencia?"
Es una pregunta justa. Herramientas como Lovable, Bolt, v0 o Replit te permiten describir lo que quieres en lenguaje natural y, minutos después, tienes una web funcionando, con formulario de contacto, inicio de sesión y hasta pagos. A esto se le llama vibe coding: programar "por sensaciones", aceptando lo que la IA genera sin revisar realmente el código.
Y funciona. Hasta que deja de funcionar.
Lo que se ve y lo que no se ve
Cuando la IA construye una web, optimiza para una cosa: que se vea y funcione en la demo. Que el botón haga clic, que el formulario envíe, que la página cargue. Eso es lo que tú revisas, y eso es lo que ella entrega.
Lo que no revisas, porque no se ve, es todo lo demás:
- ¿Quién más puede leer la base de datos donde guardas los datos de tus clientes?
- ¿Dónde quedaron guardadas las claves de tu pasarela de pago?
- ¿Qué pasa si alguien intenta adivinar contraseñas mil veces por minuto?
- ¿Qué librerías instaló la IA, y existen de verdad?
Una web puede verse perfecta y estar abierta de par en par.
Esto ya está pasando
No es teoría. En 2025, un investigador revisó más de 1.600 aplicaciones creadas con Lovable, una de las plataformas de vibe coding más populares, y encontró que unas 170 no tenían bien configurados los permisos de su base de datos. Resultado: nombres, correos, información financiera y claves de sus usuarios quedaban a la vista de quien supiera dónde mirar. La respuesta de la plataforma fue un escáner automático… que revisaba si existían reglas de seguridad, pero no si funcionaban.
Y el problema crece. Georgia Tech lleva un registro de vulnerabilidades oficiales atribuibles a herramientas de programación con IA: pasaron de 6 en enero de 2026 a 35 en marzo. Su propio fundador cree que el número real es mucho mayor, porque la mayoría nunca se reporta. Un estudio de Veracode encontró fallos de seguridad en cerca del 45 % del código generado por IA que analizó.
Los cinco errores más comunes en webs hechas con IA
1. Claves secretas dentro del código. La IA necesita conectar tu web con Stripe, con tu base de datos o con OpenAI, y la forma más rápida es pegar la clave directamente en el archivo. Si ese archivo termina en el navegador o en un repositorio público, cualquiera puede usar tu cuenta… y tú pagas la factura.
2. Bases de datos abiertas. Plataformas como Supabase o Firebase son seguras si se configuran bien. La IA suele crear las tablas y olvidar las reglas que dicen quién puede leer qué. Tu web funciona, sí, pero también funciona para un desconocido que consulta todos tus registros.
3. Inicios de sesión sin protección. Los formularios de login generados por IA casi nunca limitan los intentos. Eso permite que un bot pruebe miles de contraseñas sin que nada lo frene.
4. Librerías que no existen. A veces la IA "inventa" el nombre de un paquete que suena lógico. Los atacantes ya lo saben: registran esos nombres inventados con código malicioso adentro y esperan a que alguien los instale.
5. Nadie sabe cómo está hecho. Cuando algo falla, o cuando hay que cambiar algo seis meses después, no hay nadie que entienda el código, incluido quien lo "escribió". Cada arreglo con IA puede romper otra cosa.
Entonces, ¿la IA es el problema?
No. Nosotros también usamos IA todos los días: para escribir código más rápido, revisar errores, auditar rendimiento y probar cada flujo antes de publicar. La diferencia no es si usas IA, sino quién revisa lo que la IA entrega.
Piénsalo como un carro: la IA es un motor potentísimo. Pero un motor sin frenos, sin cinturón y sin alguien que sepa conducir no te lleva más rápido a ningún lado. Te lleva más rápido al choque.
El vibe coding es excelente para:
- Prototipos y maquetas para validar una idea.
- Herramientas internas sin datos sensibles.
- Aprender y experimentar.
Pero cuando la web recibe datos de clientes, procesa pagos o representa tu marca, necesita lo que la IA sola no garantiza: revisión de seguridad, buenas prácticas y alguien que responda cuando algo sale mal.
Si ya tienes una web hecha con IA, revisa esto
No tienes que tirarla. Empieza por estas preguntas:
- ¿Tus claves están fuera del código? Deben vivir en variables de entorno, nunca en los archivos que ve el navegador.
- ¿Tu base de datos tiene reglas de acceso activas y probadas? No basta con que existan: hay que intentar leer datos ajenos y comprobar que no se puede.
- ¿El login limita los intentos? Después de varios fallos, debe bloquear o pedir verificación.
- ¿Sabes qué librerías tiene instaladas? Revisa que todas sean reales, conocidas y estén actualizadas.
- ¿Tu web pasa una auditoría básica? Velocidad, SEO y accesibilidad también suelen quedar a medias en las webs generadas.
Si alguna respuesta es "no sé", ahí está tu riesgo.
Usa la IA, pero con alguien al volante
En WeDoo combinamos lo mejor de los dos mundos: la velocidad de la IA y el criterio de un equipo que revisa, prueba y se hace responsable. Así funciona nuestro servicio de Optimización con IA: auditamos tu web, corregimos lo que la expone o la frena, y la mantenemos segura y rápida mes a mes.
Puedes empezar gratis: nuestra auditoría analiza tu web en menos de 60 segundos y te muestra rendimiento, SEO y accesibilidad.
Ejecuta tu auditoría web gratuita →
¿Tu web fue hecha con IA y quieres saber si es segura? Cuéntanos y la revisamos →
La conclusión
La IA no reemplazó la necesidad de saber lo que se está construyendo. La hizo más importante. Hoy cualquiera puede publicar una web en una tarde, y justamente por eso las webs que generan confianza son las que alguien revisó con cuidado.
Construir rápido ya no es la ventaja. Construir rápido y bien sí lo es.
