Lista de verificación de 23 puntos para apps de vibe coding antes del primer pago

Antes de que tu aplicación de vibe coding acepte su primer pago, pide a un agente de IA que revise estos 23 puntos:

1. Existe un único documento con el sistema de diseño, y todos los colores, tamaños de fuente y márgenes lo cumplen.
2. Hay pantallas separadas para cada estado: carga, sin datos y error.
3. Las claves privadas se guardan solo en el servidor. Los archivos de frontend y el historial de Git se revisan para detectar filtraciones, y todas las claves expuestas alguna vez se rotan.
4. Cada endpoint de API verifica la autorización y los permisos en el servidor. En la base de datos está activado RLS (Row Level Security).
5. En los servicios con pago por uso, como IA, SMS y correo electrónico, hay configurados límites de gasto o alertas.
6. Los webhooks de pago verifican la firma, y recibir varias veces la misma notificación no provoca un registro duplicado.
7. Los reembolsos, cancelaciones y cargos fallidos se prueban en modo de pruebas. Cada escenario se ejecuta una vez y termina con el estado correcto.
8. Después de que finaliza la prueba o suscripción, el acceso se revoca a tiempo.
9. Al pasar de pagos de pruebas a pagos en producción, se reconfiguran las claves API de producción y el secreto de firma de webhooks.
10. Los importes monetarios se guardan como números enteros en la unidad mínima de moneda, como en Stripe. No uses números de punto flotante: en JavaScript, 0.1 + 0.2 no es igual a 0.3.
11. Un doble clic en el botón de envío crea solo un pedido.
12. El impuesto sobre las ventas o IVA está configurado para los países donde vendes el producto.
13. Los términos de uso y la política de privacidad coinciden con el funcionamiento real de la aplicación.
14. Hay una copia de seguridad automática diaria. El plan gratuito de Supabase no la incluye, así que debes pasar a Pro o configurar tus propios volcados. También debes probar una vez la restauración en una base de datos nueva.
15. Para cada migración del esquema de la base de datos hay SQL de rollback preparado. La migración y su rollback se prueban en una copia de los datos de producción.
16. Las listas con más de 1.000 registros no se truncan de forma silenciosa. De forma predeterminada, la API de Supabase devuelve hasta 1.000 filas.
17. La hora se guarda como timestamptz, y la zona horaria de cada usuario se registra en una columna separada para que los recordatorios lleguen en hora local.
18. Primero se usa borrado lógico (soft delete), y RLS oculta también los registros borrados. Cuando se elimina una cuenta, los datos del usuario se eliminan de forma permanente.
19. Los usuarios pueden exportar sus propios datos.
20. Los nombres con apóstrofes, emojis o texto de derecha a izquierda no generan errores en los campos de entrada.
21. Las imágenes usan formatos WebP o AVIF, y el contenido que está fuera de la vista se carga al hacer scroll.
22. Se crean índices para los campos que se filtran con más frecuencia. Con decenas de registros de prueba todo puede parecer rápido, pero con volúmenes reales de datos aparecen lentificaciones.
23. Hay monitorización de errores conectada para que te enteres de los problemas antes que tus usuarios.

Envía toda esta lista a tu agente y añade al final el siguiente prompt. El agente revisará cada punto y presentará los resultados en una tabla:

Reparte la revisión entre cinco subagentes en las siguientes áreas:

1. Diseño y rendimiento.
2. Seguridad.
3. Pagos.
4. Datos.
5. Funcionamiento de la aplicación tras el lanzamiento.

Revisa todos los puntos sin modificar nada. Para cada punto, indica si la revisión pasó o falló, y el archivo donde se encontró el problema.

Si algo solo se puede revisar desde el panel de control de un servicio, marca el punto como «Requiere mi confirmación» y proporciona instrucciones paso a paso para la comprobación manual.

Prueba la copia de seguridad y la restauración solo en una base de datos de pruebas, y los pagos exclusivamente en modo de pruebas. No modifiques datos de producción.

Primero muéstrame la tabla de resultados y no arregles nada hasta que yo confirme.