Colophon

Stack técnico

Decisiones de arquitectura

• →One-page landing con secciones diferenciadas para habilidades, experiencia, servicios, proyectos y contacto — navegación por anclas.
• →Selector de track en el cliente (cookie `track`): un único componente hero, con habilidades y servicios adaptados al perfil Salesforce o IT Ops.
• →Páginas dedicadas para About, Certificaciones y Blog — accesibles desde la navbar, sin duplicarse en la landing.
• →Server Components por defecto: solo los componentes interactivos (hero, selector de tema, formulario) están marcados como `use client`.
• →Datos de Supabase obtenidos en el servidor con caché Redis (stale-while-revalidate) — sin consultas directas desde el cliente.
• →Blog en MDX: artículos escritos en `.mdx` dentro de `content/blog/posts/{locale}/` — renderizado estático en el build, sin necesidad de base de datos.

Estrategia de caché

• →Upstash Redis almacena las respuestas de las consultas a Supabase (proyectos, certificaciones, about) con un TTL de 5 minutos.
• →stale-while-revalidate: si el dato está en caché, se devuelve de inmediato mientras se dispara una revalidación asíncrona en segundo plano.
• →Invalidación manual: el endpoint `POST /api/cache/invalidate` (protegido por secreto) permite purgar la caché tras una actualización de datos.
• →RSS feed: `Cache-Control: public, max-age=3600, stale-while-revalidate=86400` — 1h en caché CDN, revalidado cada 24h.
• →ISR (páginas HTML): no activado en el CDN de Vercel por decisión de seguridad — el nonce CSP generado por solicitud (eliminación de `'unsafe-inline'`) es incompatible con un HTML cacheado. Se planea una caché vía reverse-proxy en homelab (Q4 2026), que podrá cachear el HTML en su propia capa sin comprometer el nonce.

Seguridad

• →CSP basada en nonce: `'unsafe-inline'` eliminado de `script-src`. Se genera un nonce criptográfico único por solicitud en el middleware Edge (`proxy.ts`) y se inyecta en todos los scripts inline autorizados (JSON-LD, Vercel Analytics, hidratación de Next.js). Cualquier script inline sin nonce es bloqueado por el navegador.
• →Cabeceras HTTP en `next.config.mjs`: HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy extendida, Cross-Origin-Opener-Policy (`same-origin`), Cross-Origin-Resource-Policy (`same-origin`), Report-To, Reporting-Endpoints. Fingerprinting del framework desactivado (`poweredByHeader: false`).
• →Row Level Security (RLS) activado en todas las tablas de Supabase. `project_assets` restringida únicamente a los assets de proyectos publicados — los borradores no se exponen a través de la clave anon.
• →Rate-limiting vía Upstash Redis (ventana deslizante) en los endpoints sensibles: contacto (5 req/10 min), testimonios (3 req/24h), invalidación de caché (10 req/min), health check (30 req/min), informes CSP (20 req/min), panel admin (5 req/15 min — protección anti fuerza bruta). Si Redis no está configurado en producción, el limitador pasa a modo *fail-closed* (todas las solicitudes bloqueadas). Ante una caída transitoria de Redis, pasa a *fail-open* para no penalizar a los usuarios legítimos — excepto en `/admin`, donde el comportamiento sigue siendo *fail-closed*.
• →Honeypot: campos ocultos en los formularios de contacto y testimonios — los bots que rellenan estos campos reciben un 200 silencioso.
• →Validación de origen: las solicitudes API procedentes de orígenes desconocidos se rechazan en producción.
• →Rutas de diagnóstico desactivadas en producción: `/api/redis-test` devuelve 404 fuera del modo desarrollo.
• →CORS restringido: `/api/health` limitado únicamente al origen del sitio — las herramientas de monitorización operan servidor a servidor.
• →security.txt disponible en `/.well-known/security.txt` (RFC 9116) — contacto de divulgación responsable.
• →Ningún secreto en las variables `NEXT_PUBLIC_*` — todas las claves sensibles (service role, token de Redis, credenciales de admin) permanecen estrictamente en el servidor.
• →Validación externa (terceros neutrales): securityheaders.com · Mozilla Observatory — postura HTTP verificada de forma independiente al sitio.

Código abierto