Todo secreto de servicio (API keys, tokens) se almacena cifrado con AES-256-GCM; nunca en texto plano en la base de datos.

Solo las cuentas de GitHub explícitamente permitidas obtienen sesión de administrador, sin excepción. La cuenta se reconoce por su id numérico, que no cambia nunca, además de por su login.

Cualquier fallo en blocklist, rate limiting o sensor deja pasar el request; el enforcement nunca puede tumbar el sitio.

Ningún clasificador de ruta (rate limiting, bloqueo en modo demo, gate de admin, portal) puede cambiar de veredicto porque la URL lleve un prefijo de idioma delante.

Un inicio de sesión con llave capturado no se puede reutilizar, y dar de alta una llave nueva exige haber probado la identidad hace menos de diez minutos. Cada alta y cada baja de llave avisa al teléfono y queda en el micro-SIEM.

Las páginas públicas de actividad (/log y la portada) incluyen el trabajo en repos privados en sus cifras (horas, racha, total, gráfico), pero nunca el nombre del repo ni el mensaje de un commit o PR que no sea público.

Todo lo que el servidor sondea por encargo, sea un monitor de uptime, el diagnóstico del panel o el analizador público, resuelve el host y rechaza IPs privadas, de loopback, link-local o reservadas antes de conectarse. Los monitores siguen las redirecciones a mano y validan cada destino, y la lectura del certificado TLS pasa por el mismo guardia.

Un mismo idempotencyKey nunca genera dos cobros, incluso ante doble clic o reintento de red.

Los estados terminales de un pago (approved/declined/error/voided) nunca retroceden ante webhooks fuera de orden.

Si el health check post-deploy falla, el pipeline revierte automáticamente a la última versión saludable.

Una consulta que falla en una página pública pinta el dato como ausente, nunca como error ni como 404: la portada, /status, /security, /certifications y /engineering siguen sirviendo su contenido aunque la base de datos no responda.

Cuando la base de datos no responde, las páginas públicas no se limitan a omitir el dato (RNF-26): lo sirven desde una fuente alterna real. La portada pinta los proyectos desde una instantánea capturada de la propia base, y /status mide la disponibilidad y la latencia sondeando los endpoints públicos en el momento del render, sin base de datos de por medio.

Toda ruta declarada en la sección de crons de vercel.json existe como archivo, exporta un handler GET, comprueba CRON_SECRET y no cuelga del gate de sesión de /api/admin.

Todo dato con fecha que salga a un documento o a una pantalla se resuelve en America/Bogota: los instantes (emisión, pago, creación) se formatean en esa zona, y las fechas de calendario (vencimiento, periodo de un servicio, fecha de un hito) se anclan a medianoche colombiana al entrar. Un solo módulo puro lo resuelve para las cuentas de cobro, las facturas del portal y los hitos.

La clasificación de cada request (regex/lookup en memoria) no debe añadir latencia perceptible; la escritura es fire-and-forget.

El coste en filas leídas de una página pública no crece con la antigüedad del sistema: /status lee un resumen diario precalculado (una fila por monitor y día, ~720) más el día en curso, en vez de agregar los 90 días crudos de monitor_checks en cada render. Las pruebas de carga se niegan a arrancar si el objetivo está conectado a una base remota.

El sitio vive en codebymike.net; sus duplicados alcanzables (www.codebymike.net y el alias fijo del proyecto en Vercel) redirigen con 308 conservando ruta y query, para no publicar copias indexables del mismo contenido. Las integraciones que llaman a /api NO se redirigen. El dominio anterior (codebymike.tech) salió de la lista el 8 sep 2026: dejó de resolver y una regla para un host inalcanzable solo aparenta cobertura.