Verifique quién puede ver realmente sus datos
Averigüe —antes que sus clientes— si lo que usted considera privado realmente lo es.
Cuándo usarlo
Antes del lanzamiento y en cualquier momento en que añada inicios de sesión, un portal o cualquier cosa que los clientes envíen.
Antes de empezar
- Una aplicación que tenga inicios de sesión y almacene información (los envíos de formularios cuentan).
- Una segunda cuenta de prueba que NO sea de administrador; la necesitará para verificar. Créela ahora.
- Cinco minutos para realizar la prueba real después; el informe del prompt no es una prueba por sí solo.
El prompt
Estos prompts funcionan mejor en inglés — pégalos tal como están, incluso en páginas traducidas.
Audit who can access what in this app, and fix anything that is open when it should not be. First, list every type of information the app stores and every page, and tell me for each one whether it can be reached by: a visitor who is not logged in, a normal logged-in user, and an admin. Present it as a simple table in plain language. Then fix every case where information is reachable by someone who should not have it. Two rules for the fixes: the restriction must be enforced on the data itself, not only by hiding a link or a button; and a person must never be able to see another person's records by changing something in the address bar. Specifically check: form submissions and customer messages, uploaded files, user profiles and contact details, any admin screens, and anything marked private or paid. Do not change what the app does or how it looks. When you are finished, show me the same table again with the fixes applied, and tell me plainly if anything is still open.
¿Ya estás creando? Pega esto en tu proyecto. ¿Empiezas de cero? Abre una cuenta gratuita en un creador compatible a continuación.
Créalo en
Qué crea esto
- Una tabla en lenguaje sencillo sobre quién puede acceder a qué.
- Correcciones aplicadas a nivel de datos para cualquier cosa expuesta incorrectamente.
- Una tabla posterior que muestra el estado corregido.
- Una nota honesta sobre cualquier cosa que aún permanezca abierta.
Comprueba que funcionó
Pega el prompt, espera a que termine la construcción y luego confirma esto — en lenguaje sencillo, sin comprobaciones técnicas:
- Recibirá una tabla antes y después que realmente podrá leer.
- Sin haber iniciado sesión, no puede abrir ninguna página que requiera inicio de sesión; escribir la dirección directamente también fallará.
- Al iniciar sesión como la cuenta de prueba normal, no puede acceder a pantallas de administración ni a los registros de otros usuarios.
- Los archivos cargados y los envíos de formularios no son visibles para extraños.
- Cualquier cosa que el informe indique como "aún abierta" es algo que usted decidió dejar abierto conscientemente.
¿Falta algo? Es normal — pídelo en un mensaje corto de seguimiento en vez de volver a ejecutar todo el prompt.
Siguientes pasos
Restringir la carga de archivos
Si su aplicación acepta documentos o fotos
Make uploaded files private by default: only the person who uploaded a file and an admin can open it, links to files must not be guessable or shareable to outsiders, and files must not be listed publicly anywhere. Confirm what happens if someone who is not logged in tries to open a file link directly.
Sabrás que funcionó cuando: Abrir un enlace de archivo en una ventana sin sesión iniciada falla en lugar de mostrar el archivo.
Añadir una ruta para "eliminar mis datos"
Antes del lanzamiento si presta servicios en Europa, Brasil o California
Add a way for a user to request deletion of their account and personal data from their account page, and an admin screen where I can see and action those requests. Explain in plain language what gets deleted and what has to be kept for legal reasons, and confirm the request by email.
Sabrás que funcionó cuando: Un usuario de prueba puede solicitar la eliminación y usted puede ver y completar la solicitud.
Mantener los secretos fuera del sitio
Después de conectar cualquier servicio externo
Check that no passwords, API keys or private credentials appear anywhere in the site's pages, links or public files, and that all of them are stored in the platform's secure settings instead. List anything you find and where it is.
Sabrás que funcionó cuando: Obtiene una confirmación explícita de que no hay información confidencial expuesta, o una lista de lo que debe mover.
Ojo con
- Un informe no es una prueba. Verifique siempre con la segunda cuenta y con una ventana del navegador sin sesión iniciada. Estos son los diez minutos más valiosos de toda esta biblioteca.
- Ocultar no es proteger. Si la corrección fue "eliminar el enlace", no está arreglado. El prompt dice "a nivel de datos" dos veces precisamente por esta razón; asegúrese de que la respuesta hable de reglas, no de visibilidad.
- Las cargas de archivos son la puerta olvidada. La gente protege las páginas y olvida que los documentos cargados pueden residir en una dirección pública. Pregunte específicamente si el informe no los menciona.
- Los datos regulados suben el estándar. Los datos de salud, financieros y de menores conllevan requisitos legales que van más allá de las buenas prácticas; este prompt es una base, no asesoramiento sobre cumplimiento.
Notas por plataforma
Base44 y Lovable aplican reglas de acceso a nivel de datos cuando se les solicita explícitamente, por lo que este prompt lo menciona dos veces. En v0, la aplicación reside en cualquier backend que haya conectado, así que ejecute esto contra las reglas de dicho servicio.
Gasta menos créditos
Toda plataforma te cobra por el trabajo que hace su IA — así que el hábito más barato es pensar antes de construir. Estas seis reglas eliminan la mayor parte del desperdicio, elijas la plataforma que elijas.
- Planifica primero en un chat gratuito. Esboza todo en ChatGPT, Claude o Gemini — páginas, funciones, qué recoge cada formulario, cómo debe verse. Pensar allí es gratis; pensar dentro de un builder se factura.
- Empieza con un prompt escrito, no con una frase. "Hazme una web" es la frase más cara al construir con IA. Un primer prompt completo — como los de este sitio — ahorra decenas de rondas de corrección.
- No seas perezoso con los detalles. Cada detalle que omites vuelve como una corrección que pagas. Nombre del negocio, colores, cada página, cada campo del formulario, qué pasa tras el envío — ponlo todo en el primer prompt.
- Después, un cambio por mensaje. "Arregla la cabecera, y el formulario, y los colores" produce un enredo que cuesta más deshacer de lo que ahorró.
- ¿Atascado? Deja de parchear. Si la misma corrección falla unas tres veces, no envíes una cuarta — describe el estado final deseado de toda la sección en un mensaje nuevo.
- Empieza gratis. Mejora el plan cuando necesites más. Usa la cuota gratuita para crear y explorar tu primera versión. Mejora el plan cuando necesites más uso o funciones de pago, y revisa el coste de los servicios conectados antes del lanzamiento.
Los prompts de esta página están escritos para hacer casi todo este trabajo por ti — de eso se trata.
Lee la guía completaPlaybooks relacionados
Prompts relacionados
Revisado el: 2026-07-27