Herramientas de programación con IA para sitios web

Cursor es un editor de código construido sobre VS Code con un asistente de AI que puede leer el proyecto y editar muchos archivos a la vez. Claude Code es el agente de línea de comandos de Anthropic que trabaja dentro de un repositorio, ejecuta comandos y propone o aplica cambios. GitHub Copilot comenzó como autocompletado y ahora incluye modos de chat y agente dentro de editores comunes. Varios otros siguen el mismo patrón.

El cambio que importa para la gobernanza es la autonomía. El autocompletado sugiere una línea y un desarrollador la acepta. Los agentes pueden abrir archivos, instalar paquetes, ejecutar comandos de base de datos y enviar cambios. Cuanto más pueda hacer una herramienta sin que una persona apruebe cada paso, más deben decir sus reglas sobre lo que puede tocar.

La mayoría de los incidentes caen en un puñado de categorías. Ninguno es hipotético; cada uno es un riesgo de software normal que se vuelve más frecuente cuando el código se produce más rápido de lo que se revisa.

• Fallos de seguridad: falta de validación de entrada, SQL construido a partir de cadenas, comprobaciones de autenticación débiles o cargas de archivos permisivas que pasan un vistazo rápido.
• Exposición de secretos: claves API pegadas en prompts, confirmadas en el repositorio o impresas en registros que lee la herramienta.
• Comandos destructivos: un agente que ejecuta un restablecimiento de base de datos, un git push forzado o una eliminación masiva de archivos en el entorno incorrecto.
• Riesgo de dependencia: la herramienta agrega un paquete que está desactualizado, abandonado o, en casos raros, es una imitación de un paquete real.
• Regresiones ocultas: una refactorización que arregla una página y rompe silenciosamente el pago, los formularios o las etiquetas de seguimiento en otros lugares.
• Preguntas de licencia y propiedad intelectual sobre el código generado y sobre el código del cliente enviado a un modelo de terceros.

Las herramientas de codificación con AI son fuertes en código repetitivo, explicar código desconocido, escribir pruebas, convertir diseños en componentes y corregir errores claramente descritos. Son más débiles cuando el requisito es vago, cuando la base de código tiene convenciones no documentadas o cuando la respuesta correcta depende del contexto empresarial que el modelo no puede ver.

También cometen errores con confianza. Una herramienta puede afirmar que una corrección funciona sin ejecutarla, inventar una función que no existe en su versión de una biblioteca o producir código que pasa las pruebas porque cambió las pruebas. Trate cada resultado como una solicitud de extracción de un desarrollador junior rápido que nunca se cansa y nunca hace preguntas.

Comience con reglas que sean baratas de seguir y caras de omitir. Puede refinarlas más tarde, pero estas deben estar por escrito antes de que alguien conecte un agente a un repositorio de cliente.

• Sin acceso a producción: los agentes trabajan en copias locales o de ensayo; la implementación pasa por la tubería normal.
• Revisión humana para cada cambio: nada se fusiona sin que un revisor nombrado lea la diferencia.
• Los secretos se mantienen fuera: las claves viven en variables de entorno o en un administrador de secretos, nunca en prompts, código o registros de chat.
• Configuración de permisos: restrinja qué comandos puede ejecutar un agente sin preguntar y bloquee los destructivos por defecto.
• Herramientas y cuentas aprobadas: planes de negocios con términos claros de retención de datos, no cuentas personales gratuitas.
• Política de dependencia: los nuevos paquetes necesitan una razón, una verificación del estado de mantenimiento y la aprobación de un revisor.
• Registro: mantenga la sesión o el resumen de lo que cambió la herramienta para cualquier lanzamiento orientado al cliente.

Un archivo de instrucciones del proyecto ayuda

Muchas herramientas leen un archivo de proyecto con instrucciones permanentes, como CLAUDE.md para Claude Code o archivos de reglas en Cursor. Úselo para registrar convenciones, acciones prohibidas, comandos de prueba y áreas frágiles conocidas. No reemplaza la revisión, pero reduce los errores repetidos y documenta las decisiones para el próximo desarrollador.

La velocidad es fácil de sentir y difícil de verificar. Realice un seguimiento de algunos indicadores para que el equipo pueda ver si la asistencia de la AI está mejorando el trabajo o solo acelerándolo.

• Cobertura de pruebas automatizadas en flujos críticos como pago, formularios e inicio de sesión.
• Core Web Vitals después de cada lanzamiento: LCP por debajo de 2.5 segundos, INP por debajo de 200 ms, CLS por debajo de 0.1.
• Número de errores reportados dentro de una semana después del lanzamiento, en comparación con el trimestre anterior.
• Resultados de escaneo de seguridad de herramientas como GitHub code scanning, Snyk o un escáner de seguridad de WordPress.
• Tiempo de revisión por solicitud de extracción, para detectar cuándo los revisores están aprobando automáticamente grandes diferencias generadas por la AI.

Dos preguntas surgen en cada conversación con el cliente. Primero, ¿qué sucede con el código enviado al modelo? Los planes de negocios y empresariales de los principales proveedores generalmente establecen que el código del cliente no se utiliza para el entrenamiento, pero los términos difieren y cambian, así que lea el acuerdo actual y registre qué plan utiliza. Segundo, ¿quién es el dueño del resultado? Los contratos deben decir claramente que el código entregado pertenece al cliente, independientemente de la herramienta que ayudó a escribirlo.