Puedes crear el funnel con vibe coding. ¿Puedes mantener lo que hay detrás?

En marzo de 2026, un paciente echó un vistazo a la app que usaba su centro médico para los historiales de los pacientes. Unos 30 minutos después podía leer y modificar los datos de todos ellos. Un miembro del personal había creado la app con un agente de programación y, por lo que sabía todo el mundo en el centro, funcionaba.

La app no tenía ninguna regla sobre quién podía leer esos historiales. Nada en la pantalla lo habría mostrado nunca, y a los pacientes cuyos historiales estaban dentro nadie les preguntó.

Cada vez oímos más a menudo alguna versión del mismo plan: ¿para qué pagar un creador de funnels si la IA te crea el quiz en un fin de semana? Es una pregunta legítima. No somos neutrales con la respuesta, así que lee esto sabiendo quién lo escribe.

El «vibe coding» ha hecho que la parte visible de una herramienta de negocio sea casi gratis, y eso es un avance real. No ha hecho nada por la parte que no se ve: quién puede leer los datos, si los emails llegan, qué pasa cuando una sincronización falla de madrugada y quién se entera cuando ocurre. Esa parte sigue exigiendo trabajo de verdad para configurarla, y nunca deja de necesitar atención. En el momento en que la construyes tú, te conviertes en la empresa de software, con todo eso encima de tu mesa.

Si lo único que necesitas es una calculadora que no guarda nada, no envía nada y no se conecta a nada, hazla con vibe coding. Lo digo en serio, y probablemente no deberías pagar a una plataforma por ella. Pero una herramienta que capta leads casi nunca se queda ahí.

Lo Que El Vibe Coding Hace Bien, Y Por Qué Nosotros También Creamos Con IA

Andrej Karpathy le puso nombre en una publicación en X de febrero de 2025: te dejas llevar por las vibras y «te olvidas de que el código siquiera existe». En noviembre, el diccionario Collins ya había elegido «vibe coding» como su palabra del año. Se extendió tan rápido porque da resultado. Describes lo que quieres con tus propias palabras y delante de ti aparece algo que funciona. La primera vez, parece que estás haciendo trampa.

Nosotros también creamos con IA, y nos alegra hacerlo. Más de un tercio de los funnels creados en involve.me en el último año empezaron con IA, muchos de ellos a partir de un prompt escrito en el AI Agent de involve.me. Convertir una descripción en preguntas y una página de resultados es un problema prácticamente resuelto, y esa fue la idea detrás del lanzamiento del AI Agent.

Así que cuando alguien deja un creador de funnels para hacerse el suyo con vibe coding, entendemos por qué. Si el quiz fuera todo el producto, tendría razón.

¿Tu Herramienta Guarda, Envía O Sincroniza? La Pregunta Que Lo Decide

Tres preguntas separan una página web de una infraestructura:

1. ¿Guarda datos personales? Nombres, emails, teléfonos o respuestas sobre la salud o el presupuesto de alguien.

2. ¿Envía emails? Una confirmación, o una secuencia de seguimiento que dura semanas.

3. ¿Se sincroniza con otro sistema? Tu CRM, un calendario, una hoja de cálculo, un proveedor de pagos.

Si respondes que no a las tres, has creado una página. Una página puede ser fea o lenta, y lo que eso te cuesta es tener una página peor.

Si respondes que sí a una sola, has creado algo que guarda datos de otras personas y actúa sobre ellos. Eso hay que configurarlo bien y cuidarlo mientras siga en marcha. El National Cyber Security Centre (NCSC) del Reino Unido trazó casi la misma línea en su guía sobre vibe coding de junio de 2026: los prototipos, las demos y las herramientas internas de baja exposición están bien, mientras que todo lo que gestione inicios de sesión, datos personales sensibles o contraseñas y claves necesita mucho más cuidado. Un funnel de leads gestiona datos personales por definición.

Apps Hechas Con Vibe Coding Que Salieron Mal, Con Fuentes

Empecemos por la visión más amplia que encontramos. En septiembre de 2026, unos investigadores auditaron 200 apps hechas con vibe coding que estaban publicadas en internet, creadas con Claude Code y Lovable. El 91% tenía al menos una vulnerabilidad confirmada, y cerca de dos tercios de los fallos se calificaron como críticos o altos. En aproximadamente una de cada cinco ejecuciones de prueba, el agente de programación reconoció el riesgo y entregó el código inseguro de todos modos.

Cada una de esas cifras es la app de alguien.

La App De Pacientes De Un Centro Médico, Abierta En 30 Minutos

El paciente del principio es Tobias Brunner, que contó lo que encontró en marzo de 2026. La persona que creó la app había importado en ella los historiales de pacientes que ya tenía el centro y había empezado a añadir grabaciones de audio de las citas. Toda la app era un único archivo HTML. La base de datos no tenía control de acceso, y las únicas comprobaciones de seguridad se ejecutaban en el navegador, donde cualquiera puede desactivarlas.

Los datos estaban en un servidor de Estados Unidos sin acuerdo de tratamiento de datos, y las grabaciones se enviaban a dos servicios de IA estadounidenses para generar resúmenes automáticos. Después de que él lo notificara, el centro añadió una protección básica con contraseña y rotó algunas claves.

Esa persona tenía un problema real y una herramienta que prometía resolverlo. Lo que no tenía era ninguna forma de ver lo que había construido.

Miles De Bases De Datos Que Cualquiera Podía Leer

En marzo de 2025, dos ingenieros analizaron 1,645 apps que Lovable mostraba públicamente como creadas en su plataforma y encontraron 170 que exponían datos de usuarios, porque sus reglas de acceso de Supabase faltaban o eran demasiado débiles. Entre los datos expuestos había nombres, direcciones de email, números de teléfono, datos de pago y claves de API, y el fallo se registró como CVE-2025-48757, según informó Semafor. Para ser justos, los dos ingenieros trabajaban en Replit, un competidor, y Lovable cuestiona el CVE.

El patrón no depende de una sola herramienta. En septiembre de 2026, la empresa de seguridad UpGuard encontró unas 16,000 bases de datos alojadas en Supabase que exponían datos personales, desde nombres, direcciones y teléfonos hasta algunas contraseñas, según TechCrunch. No todas esas bases de datos se crearon con IA, y la postura de Supabase es que la seguridad es una responsabilidad que comparte con sus clientes.

Es una postura razonable, y también es todo el problema. La responsabilidad compartida solo funciona cuando el cliente sabe qué parte le toca.

«No Escribí Ni Una Sola Línea De Código»

Moltbook es una red social para agentes de IA, y su fundador dijo públicamente que no había escrito él mismo nada de su código, según Reuters. A finales de enero de 2026, la empresa de seguridad Wiz encontró una clave de Supabase en el código front-end del sitio sin seguridad a nivel de fila detrás, lo que daba acceso completo de lectura y escritura a la base de datos de producción. Wiz contó unos 1.5 millones de tokens de API de agentes, unas 35,000 direcciones de email y miles de mensajes privados. Moltbook cerró el agujero a las pocas horas de recibir el aviso, lo cual está bien, y eso dependió de que alguien de fuera de la empresa se diera cuenta primero.

Cuando Un Agente De Programación Con IA Borra La Base De Datos

En julio de 2025, Jason Lemkin, fundador de SaaStr, estaba creando una app en Replit cuando el agente de programación de la plataforma borró su base de datos de producción. La base de datos contenía registros de más de 1,200 ejecutivos y más de 1,190 empresas, informó Fortune. Según The Register, el agente también había tapado errores con datos inventados y le había dicho que era imposible restaurar la base de datos. La restauración funcionó. Una tabla de ejecutivos y sus empresas es un CRM en todo menos en el nombre, así que imagina el tuyo en su lugar.

En abril de 2026, el fundador de PocketOS, una pequeña empresa que hace software para negocios de alquiler de vehículos, describió cómo un agente de programación encontró un token de API con muchos permisos en un archivo que no tenía nada que ver y lo usó para borrar los datos de producción de la empresa en una sola llamada. Tardó unos nueve segundos. Las copias de seguridad estaban en el mismo volumen de almacenamiento, así que tres meses de copias se perdieron junto con los datos. Su proveedor de hosting reconstruyó los datos a partir de copias más antiguas, informó DevOps.com. No todas las historias como esta terminan con una recuperación.

Cada una de estas apps hizo lo que su creador le pidió. Lo que falló fue todo aquello que a su creador nunca se le ocurrió pedir.

¿No Basta Con Pedirle a La IA Que Se Encargue De Todo Esto?

Este es el mejor argumento para construirlo tú, y merece una respuesta directa. Los modelos mejoran cada pocos meses. Puedes pedirle a uno que añada reglas de acceso a tu base de datos, que revise su propio código, que configure la autenticación de tus emails o que conecte tu CRM, y normalmente lo intentará y a menudo lo hará bien. Dentro de un año lo hará bien más a menudo.

Eso tiene dos problemas. El primero es que no puedes revisar un trabajo que no sabes leer. En un benchmark de 186 tareas de software reales, la mejor configuración de agente de programación produjo código que funcionaba el 57% de las veces, pero solo el 11.8% de sus soluciones eran además seguras. Un estudio presentado en USENIX Security 2025 descubrió que los modelos de IA recomiendan con frecuencia paquetes de software que no existen, al menos el 5.2% de las veces en los modelos comerciales y el 21.7% en los de código abierto, y que el 43% de esos nombres inventados volvían a aparecer cada vez que los investigadores repetían la pregunta. Esa repetición es lo que permite a los atacantes registrar esos nombres por adelantado y llenarlos de malware. Un desarrollador detecta parte de eso al revisar el código. Si tú no sabes leer el código, la única revisión que recibe es la del modelo comprobando su propio trabajo.

Las plataformas también se equivocan, y sería deshonesto no decirlo. En julio de 2025, Wiz encontró un fallo en Base44, una plataforma de vibe coding que Wix acababa de comprar, que permitía a cualquiera registrarse en una app privada usando solo su ID público. Base44 lo corrigió en menos de 24 horas, y no había indicios de que nadie lo hubiera aprovechado. Lo que Base44 tenía era un equipo vigilando la plataforma, y una corrección que llegó a todas sus apps a la vez.

Prefiero que te hagas tu propia calculadora y nunca nos pagues a que metas los teléfonos de tus clientes en una tabla que nadie ha revisado.

¿Quién Parchea Una App Hecha Con Vibe Coding Tras El Lanzamiento?

El segundo problema es que la construyes una vez, pero la mantienes en marcha cada semana. Investigadores de Carnegie Mellon compararon 806 proyectos de código abierto que adoptaron el editor con IA Cursor con 1,380 proyectos similares que no lo hicieron, en un estudio presentado en MSR 2026. En el primer mes, los proyectos con Cursor añadieron un 281% más de código. En unos dos meses, ese impulso de velocidad se había desvanecido. La complejidad extra se quedó: la complejidad del código seguía siendo un 41.6% mayor, y las advertencias del análisis estático, un 30.3% mayor.

Además, muchas veces nadie vuelve para limpiarlo. Un estudio de 6,299 repositorios descubrió que el 22.7% de los problemas introducidos por código escrito con IA seguían ahí en la versión más reciente. Toda app funciona también sobre código que escribió otra persona, como frameworks y bibliotecas, que reciben actualizaciones de seguridad cada pocas semanas que alguien tiene que aplicar. Las claves hay que rotarlas cuando se va un freelance. Las claves de API necesitan un límite de gasto: cuando METR, una organización de investigación que se dedica a evaluar modelos de IA, reveló en agosto de 2026 que un panel hecho con vibe coding había desactivado en silencio su propio inicio de sesión, un atacante ya había acumulado unos $600,000 de uso en tres semanas (los créditos eran donados, que es casi lo único afortunado de la historia). Gmail, Yahoo y Outlook.com cambiaron sus reglas de envío en 2024 y otra vez en 2025, y las herramientas a las que te conectas no dejan de cambiar sus API.

Las grandes organizaciones saben adónde va el dinero. Las agencias federales de Estados Unidos suelen declarar que dedican cerca del 80% de sus presupuestos de TI a operar y mantener lo que ya tienen, según constató la GAO en 2025. Las pequeñas empresas a menudo no tienen a nadie para esa parte: en una encuesta de ENISA publicada en junio de 2026, el 57% de las microempresas de la UE no tenía a nadie, ni dentro ni fuera de la empresa, responsable de la ciberseguridad.

El vibe coding hizo que escribir código dejara de costar. Hacerte cargo de ese código cuesta lo mismo que siempre.

Cuando Una App Hecha Con Vibe Coding Filtra Datos, El Reloj Corre En Tu Contra

Si tu negocio está en la UE o en el Reino Unido, o recoge datos de personas que están allí, el GDPR se aplica a tu app casera igual que a cualquier empresa de software. El artículo 33 te da 72 horas desde que tienes conocimiento de una brecha para notificarla a tu autoridad de protección de datos, salvo que sea improbable que la brecha suponga un riesgo para alguien. El artículo 32 exige medidas de seguridad adecuadas al riesgo y que se pongan a prueba con regularidad. Fuera de Europa, tu país o tu estado tiene sus propias normas sobre brechas, y un abogado puede decirte cuáles se aplican. La mayoría de las pequeñas empresas no están preparadas para ese reloj: solo el 21% de las microempresas del Reino Unido tiene un plan formal de respuesta a incidentes, según la Cyber Security Breaches Survey 2025/2026 del Gobierno británico. En cualquier caso, si la app la creaste tú, eres tú quien tiene que averiguar qué se ha filtrado y a quién avisar, dentro de ese plazo, sin un equipo de seguridad al que llamar.

Lo Que Hace Falta Para Configurar Y Mantener Un Funnel De Leads Hecho Con Vibe Coding

Todo lo anterior se aplica a cualquier app que hagas con vibe coding. Un funnel de leads trae su propia lista. Parece un conjunto de preguntas y una página de resultados, y si has leído sobre cómo funciona un funnel de marketing, esa es la parte que dibujan los diagramas. También es la parte que produce un prompt. Debajo están las capas de esta tabla. Cada una hay que configurarla antes de que llegue el primer lead, y cada una sigue necesitando trabajo mientras el funnel esté activo.

Un modelo de IA puede escribir código para cada fila. Configurar y probar cada una es la parte lenta, y la columna de la derecha no se acaba nunca.

La Base De Datos Que Guarda Las Respuestas De Tus Leads

Muchas herramientas de vibe coding guardan tus datos en una base de datos alojada, a menudo Supabase. Es un buen producto, y es seguro cuando está bien configurado: ahí es donde empiezan los problemas. Supabase se basa en la seguridad a nivel de fila (row-level security), un conjunto de reglas que dicen qué filas puede leer o modificar cada visitante. Si esas reglas faltan o son demasiado permisivas, la clave pública que va dentro de tu app puede leer la tabla entera, y cualquiera puede encontrar esa clave en el código de la página.

Un modelo escribirá esas reglas si se las pides. Las preguntas difíciles son si sabes que tienes que pedirlas y si sabes distinguir una regla buena de una mala una vez escrita. Varios de los incidentes de arriba se reducían exactamente a eso. Además, las reglas hay que revisarlas: si más adelante añades una tabla, por ejemplo para las llamadas reservadas, necesita sus propias reglas.

Emails Que Llegan a La Bandeja De Entrada, a Su Hora

Enviar un email desde el código son unas pocas líneas. Que llegue a su destino cuesta mucho más. Desde febrero de 2024, Google exige a todos los que envían a cuentas de Gmail que autentiquen su dominio con SPF o DKIM y que mantengan su tasa de spam por debajo del 0.3%. Si envías más de 5,000 mensajes al día, necesitas SPF, DKIM y DMARC a la vez, además de la cancelación de la suscripción con un solo clic. Yahoo introdujo reglas similares al mismo tiempo, incluida la obligación de atender las bajas en un plazo de dos días, y desde mayo de 2025 Microsoft exige SPF, DKIM y DMARC a los remitentes de gran volumen que envían a direcciones de Outlook.com.

El correo que no cumple esas reglas puede acabar marcado como spam o rechazado directamente, y en tu lado nada muestra un error. Tu secuencia de seguimiento simplemente deja de llegar a la gente, y te enteras cuando un lead te dice que nunca recibió nada. Incluso los grandes remitentes se quedan a medias: en un estudio de la Comisión Europea de 2025, el 89% de los dominios de email de gran volumen de la UE analizados tenía un registro DMARC, pero solo el 44% lo había configurado para aplicar alguna política.

Una secuencia añade un segundo problema: el tiempo. El email que debe salir tres días después de que alguien complete el quiz necesita algo que lo guarde durante tres días y que lo envíe igualmente aunque el servidor se reinicie o publiques un cambio. Una página web o una función serverless no espera tres días por sí sola, así que necesitas una tarea programada o una cola, y alguien tiene que darse cuenta cuando deja de funcionar. Si ramificas la secuencia según si un lead abrió o hizo clic, también estás construyendo el seguimiento de aperturas y clics.

La Sincronización Con Tu CRM Que Tiene Que Seguir Funcionando

Enviar cada lead nuevo a HubSpot empieza por crear una app o un token de acceso en HubSpot con los permisos adecuados, y después mapear las respuestas de tu quiz a los campos de HubSpot. Si te conectas mediante el inicio de sesión estándar de HubSpot, sus tokens de acceso caducan actualmente a los 30 minutos, así que tu código tiene que renovarlos por su cuenta, cada vez.

Luego empieza el mantenimiento. Alguien cambia un campo o una regla en el CRM, y las sincronizaciones empiezan a fallar. Cuando el CRM rechaza una solicitud o se cae un momento, tu código tiene que volver a intentarlo más tarde, o ese lead no llega nunca y nada te avisa. Multiplica eso por cada herramienta que conectes, como tu calendario y tu proveedor de pagos.

Lo Que involve.me Mantiene Detrás De Cada Funnel De Quiz

Cuando compras software, la empresa de software es otra, y muchas pequeñas empresas cuentan con eso. Según la misma encuesta del Gobierno británico, el 40% de las microempresas del Reino Unido dice que la seguridad no es una gran preocupación cuando compra software, porque compra a empresas consolidadas. Es un instinto sensato. Solo se sostiene si alguien consolidado se ocupa de lo que hay detrás de la pantalla, y desaparece el día en que construyes la herramienta tú.

Cada fila de esa tabla es algo que involve.me ya ha construido. Llevamos construyéndolo en Viena desde 2019, y el creador de quizzes es solo la parte que la gente ve en una demo. Las partes que menos nos gustaría reconstruir son las que hay debajo, y mantenerlas funcionando exige un equipo cada semana. Estamos orgullosos de esa parte, y rara vez la notarás, que es justo la idea. La versión corta: con la confianza de 4,500+ empresas, auditoría SOC 2 Type II y cumplimiento del GDPR. La versión larga está en nuestro centro de confianza:

• Datos alojados en AWS en Fráncfort, con copias de seguridad en Alemania

• Cifrado en tránsito con TLS 1.2 o superior, y en reposo con AES-256

• Pruebas de penetración, y planes de recuperación ante desastres que se ensayan

• Un acuerdo de tratamiento de datos, y el compromiso de avisarte de una brecha en un plazo de 72 horas

• Una página de estado pública con el historial de disponibilidad y las incidencias

Si prefieres ver el producto en conjunto antes que las tuberías, aquí tienes qué es involve.me y qué hace en una sola página.

Un único Registro De Contacto Para El Quiz, El CRM Y La Secuencia De Email

Muchas pequeñas empresas todavía no tienen un CRM. En Alemania, alrededor de 1 de cada 8 empresas de 2 a 9 empleados usaba software CRM en 2023, según Eurostat. Si la tuya es una de las otras siete, esta parte es la que más te importa.

En un sistema casero, o en un conjunto de herramientas separadas unidas con Zapier, el quiz, el CRM y la plataforma de email guardan cada uno su propia copia de un lead, y un puente copia los datos entre ellos. Cada puente es una cosa más que se rompe sin hacer ruido.

En involve.me, cada envío se convierte en un contacto del CRM integrado de involve.me, con sus respuestas, su puntuación y su historial completo en un único registro. Las respuestas, las puntuaciones y los resultados se asignan a propiedades del contacto. Un lead que vuelve actualiza el contacto existente en lugar de crear un duplicado, y los segmentos se actualizan solos a medida que cambian los contactos. Tus flujos de automatización se ramifican según los mismos datos que recogió el quiz, y la automatización de email integrada envía desde ese registro, así que el email ya conoce la puntuación sin que nada tenga que copiarla. Los pasos de espera y las ramificaciones según respuestas, puntuaciones, resultados, aperturas y clics forman parte del creador de flujos de trabajo, así que no hay ningún programador de tareas que mantener ni ningún seguimiento que construir. Una suscripción sustituye a un creador de funnels de quiz, un CRM y una herramienta de automatización de email, por menos de lo que costarían las tres por separado.

Cuando sí necesitas otra herramienta, las integraciones nativas de involve.me se conectan a HubSpot o Salesforce iniciando sesión y aprobando el acceso, te sugieren el mapeo de campos y muestran el estado de sincronización de cada envío, con el mensaje de error completo cuando uno falla.

Las Reglas De Seguridad Y De Email Que No Tienes Que Vigilar

En cuanto al email, cada email de un flujo de trabajo en involve.me lleva un enlace para cancelar la suscripción que no se puede eliminar en ningún plan, y una sola baja detiene todos los flujos para ese contacto. Las cuentas cuyas tasas de rebote o de quejas suben ven su envío limitado automáticamente, lo que protege la entregabilidad de todos los demás en la plataforma. Los planes de pago también permiten enviar a través de tu propio servidor SMTP.

En la puerta de entrada, involve.me comprueba en todos los planes que las direcciones de email tengan un formato y un dominio válidos, y a partir del plan Grow puede bloquear las direcciones desechables y personales. El elemento CAPTCHA (Grow y Scale) es compatible con Google reCAPTCHA y Cloudflare Turnstile, y Scale añade la verificación con código de un solo uso por email o SMS. Los datos del plan Free se eliminan a los 30 días, los planes de pago los conservan hasta que los borras, a partir de Scale puedes fijar tu propio periodo de retención, y los contactos se pueden eliminar uno a uno o de forma masiva. Todo eso es trabajo que, si no, tendrías que construir y mantener tú, y una demo no te enseña nada de ello.

¿Deberías Hacer Tu Funnel De Leads Con Vibe Coding? Un Test De Cinco Preguntas

Responde a estas preguntas antes de crear cualquier cosa que capte leads:

1. ¿Guardará datos personales?

2. ¿Enviará emails a las personas que lo completen?

3. ¿Se sincronizará con tu CRM, un calendario o cualquier otra cosa?

4. ¿Seguirá activo más allá de una campaña?

5. ¿Hay alguien en tu equipo que sepa leer el código y parchearlo, y que reciba una alerta cuando falle?

Si respondiste que no a las cuatro primeras, el vibe coding es una buena opción. Si respondiste que sí a alguna de ellas y que no a la última, tendrías una infraestructura propia que nadie está cuidando.

El vibe coding es la decisión acertada para una página de cuenta regresiva para un lanzamiento, un quiz para un evento que termina el viernes, un prototipo que vas a enseñar a tres clientes antes de decidir nada o una herramienta interna que nunca toca datos de clientes. Duran poco y guardan poco o nada, y si una falla, solo lo nota tu equipo. Créalas con lo que sea más rápido. Si eso es casi todo lo que necesitas, probablemente no somos la herramienta adecuada para ti, y no pasa nada.

Las Herramientas Que Se Quedan Años En Tu Web Necesitan Una Plataforma

Las herramientas que más valor tienen para un negocio son las que se quedan:

• Un formulario de admisión de clientes en tu página de contacto. Hace las preguntas que filtran, usa la calificación de leads para puntuar cada solicitud y la envía a la persona correcta con el seguimiento correcto.

• Una calculadora de presupuestos en tu página de precios. Ayuda a los visitantes a encontrar el plan o el paquete adecuado, y le da a tu equipo de ventas las cifras antes de la primera llamada.

• Un configurador de productos. El visitante diseña lo que quiere, por ejemplo una cocina, y ve un precio personalizado.

Cada una de ellas recoge datos personales, inicia una secuencia de email y alimenta un CRM desde el primer día, y cada una sigue activa durante años. Para eso está un creador de funnels de ventas con el CRM y la automatización de email integrados. Si estás comparando opciones, también hemos puesto frente a frente varios generadores de funnels con IA.

Las personas que completan tu formulario te están confiando su número de teléfono y, a veces, su salud. Crea el quiz con IA, por supuesto. Yo solo querría ver el nombre de alguien junto a la base de datos antes de que llegue el primer lead.