Textos

  1. 2026

    Autorización en cuatro preguntasCapacidad, partición, relación y tenant. Cada pregunta con su mecanismo, y ningún role intentando responderlas todas.

  2. Los permisos en caché envejecen de tres formasVersión del usuario, versión del catálogo y el reloj. Y ninguno de ellos puede depender de un cron.

  3. Quién puede dar poder a quiénUsar una capacidad y concederla son autoridades distintas. Modela las dos.

  4. El prompt no es una frontera de seguridadCuando un LLM escribe la consulta, autorizar a quien pregunta no basta. Importa lo que la respuesta puede tocar.

  5. El log no es una sola cosaOperación, concesión y acceso tienen volumen, retención y criticidad distintos. Y no todo fallo del rastro debe tener la misma consecuencia.

  6. Una foreign key no garantiza el tenantUna FK prueba que las dos filas existen. No prueba que sean del mismo cliente.

  7. Enmascara antes de llamar al LLMCambiar el CPF por un marcador es el comienzo. Lo difícil es el mapa de vuelta, el detector, los cuasi-identificadores y la respuesta que vuelve con el marcador equivocado.

  8. La IA amplifica la ejecución, no el criterioEl cuello de botella pasó de implementar a revisar.

  9. ReBAC y RBAC: cuándo usar cada unoRoles para lo amplio, relaciones para lo que va por recurso.

  10. V60 sin complicacionesProporción, molienda y una variable a la vez.