Escaneo de seguridad de Base44: el campo que edita tu usuario

Base44 metió tres entradas en su changelog el 19 de octubre de 2026.

Dos van de administrar equipos y están bien. La tercera es la que me hizo levantar la ceja, porque describe un agujero que, si tienes una app con usuarios de verdad, lo tienes tú ahora mismo y no lo sabes.

Va de campos de usuario. Y sobre todo de quién los puede cambiar.

El campo que decide qué ves y que puedes editar tú

Lo que anuncian es esto: el escaneo de seguridad ahora señala los campos personalizados de usuario en los que se apoyan tus reglas de permisos de datos, pero que los propios usuarios de la app pueden cambiar.

El ejemplo que pone la documentación es un campo de empresa que decide qué registros ve cada persona.

Para la IA que te montó la app, eso es un diseño perfectamente razonable. Tú le dijiste "que cada cliente vea solo lo suyo", ella creó un campo en el usuario, guardó ahí el nombre de la empresa y escribió la regla de permisos mirando ese campo. Funciona. Lo pruebas con dos cuentas y va.

El problema está en la otra punta. Ese mismo campo suele quedarse editable desde el perfil del usuario, porque también es el sitio natural donde la gente se apunta su empresa al registrarse.

O sea que el dato que decide qué puede ver una persona lo rellena esa persona.

Ahí no hace falta ser un hacker ruso. Con cambiarse el nombre de la empresa en su propio perfil, alguien pasa a ver los registros de otro. No es un fallo de la plataforma, es la combinación de dos decisiones que por separado tienen sentido.

Y es exactamente el tipo de cosa que no vas a encontrar probando tu app. Porque tú la pruebas haciendo lo que la app espera que hagas.

¿Cómo se arregla esto sin tocar código?

El escaneo te lo saca en una tarjeta y le das a Fix All. Eso bloquea esos campos para que solo los puedan cambiar los editores de tu app.

Que es lo que tenía que haber sido desde el principio: el campo que decide permisos lo rellena quien administra, no quien consume.

Ahora, un aviso que te va a ahorrar un rato malo. El Fix All de Base44 ya ha demostrado que arregla por un lado y rompe por otro. El 17 de octubre tuvieron que añadir un botón específico para cuando el propio Fix All te revienta una página de consulta de las que usan los visitantes sin iniciar sesión. Te ofrece repararla mandando una petición ya preparada al chat de la IA.

Traducción: si tienes páginas públicas en tu app, dale al Fix All y después compruébalas una por una. No lo des por bueno porque la tarjeta se haya puesto verde.

Y si estás en la fase de decidir si Base44 te vale para algo con usuarios reales, esto es material para las 12 preguntas que yo me haría antes de pagar. Los permisos de datos no son un detalle de configuración. Son la diferencia entre una app y un problema legal.

Ahora decides tú quién comparte apps con todo el espacio

La segunda entrada del día 19 es para quien tiene equipo.

Los propietarios y administradores de un espacio de trabajo pueden decidir si los dueños de las apps tienen permiso para compartirlas con todo el espacio. Aplica tanto a las apps del constructor como a las de Base Code. Compartir así significa que cualquiera del espacio puede entrar en la app sin que nadie le invite.

Y en los mismos ajustes de colaboración se controla quién puede invitar a gente de fuera del espacio de trabajo.

Esto es más interesante de lo que suena. Hasta ahora, en un espacio con diez personas, el que montaba una app decidía por su cuenta que la viera toda la empresa. Suena inofensivo hasta que la app que alguien abrió a todos tiene dentro la base de datos de nóminas.

Va en la misma línea que abrir el código al equipo con Base Code y que lo de elegir qué modelos de IA puede usar tu gente, del día 18. Base44 lleva semanas montando la parte de "y ahora que somos quince, quién puede hacer qué".

Si curras solo, te lo salta sin leerlo. Si tienes a dos personas más dentro, entra en los ajustes de colaboración hoy y mira cómo están. Lo que venga por defecto no es necesariamente lo que tú quieres.

Mover un dominio de una app a otra sin pelearte con el DNS

La tercera es pequeña y práctica.

Un dominio que hayas comprado dentro de Base44 ya se puede mover a otra app del mismo espacio de trabajo. Lo desvinculas, lo borras de la app vieja y lo conectas en la nueva. Mantiene su etiqueta de dominio de Base44 y conecta directamente, sin registros DNS que configurar.

Tres pasos y ya. Ojo al matiz, que es importante: habla de dominios comprados en Base44, y de apps del mismo espacio de trabajo.

Parece una tontería, pero quien ha montado algo con esto sabe por dónde va. Compras el dominio, montas la app, y a las tres semanas decides rehacerla de cero porque la primera versión salió torcida. Antes el dominio se te quedaba atrapado en la app muerta. Ahora lo mueves.

Si todavía no tienes claro cómo funciona todo el asunto de los dominios aquí (qué plan hace falta, qué pasa con uno externo, los registros que toca tocar), lo tengo desmenuzado en el post de dominio propio en Base44.

Qué haría yo esta semana

Si tienes una app de Base44 (enlace de afiliado: así me ayudas a seguir creando contenido) con usuarios que se registran solos, pasa el escaneo de seguridad hoy. No la semana que viene. Esta entrada del changelog es básicamente la plataforma diciéndote "oye, que esto que te generamos probablemente tiene un campo mal puesto".

Después del Fix All, abre tus páginas públicas y compruébalas.

Y si tienes gente dentro del espacio de trabajo, los ajustes de colaboración son diez minutos que valen la pena. Entre esto, el control de modelos y los límites de base de datos por plan, la semana entera de Base44 va de lo mismo: poner candados donde antes había campo abierto.

A mí me parece buena señal. Las herramientas que te dejan montar una app en veinte minutos empiezan a crecer de verdad cuando se preocupan de que esa app no se te caiga encima.

¿Sabes si la IA te está montando cosas que luego no puedes sostener? Hazte el test de nivel de IA en /test-ia.