Notas y bocetos
Ideas de backend explicadas como las explico en una pizarra: unos cuantos recuadros, algunas flechas, y ningún término técnico sin su dibujo.
Instrucciones ocultas para IA en webs: el caso de la ayuda de WhatsApp
Redact encontró en las páginas de ayuda de WhatsApp texto que nadie veía pero que las máquinas recibían. Qué dice el informe, qué dijo WhatsApp a WIRED y cómo revisar tus propias páginas.
Leer la publicaciónHTML-in-Canvas: Chrome dibuja DOM real dentro de canvas y WebGL
La origin trial de HTML-in-Canvas en Chrome permite dibujar contenido DOM en un canvas 2D o una textura WebGL/WebGPU sin que deje de ser clicable, seleccionable y legible para lectores de pantalla. Cómo funciona en tres pasos y sus dos límites.
Leer la publicaciónInterop 2027: las novedades de CSS que ya puedes usar hoy
Interop 2027 se está planificando ahora y el CSS de la lista ya funciona en Chrome y Edge. Cinco de las elecciones de Josh W. Comeau, su soporte a octubre de 2026 y cuáles puedes publicar hoy como mejora progresiva.
Leer la publicaciónRéplicas de lectura en Laravel: datos viejos después de guardar
Un usuario guarda un cambio, lo redirigen y ve el valor anterior, porque la lectura fue a una réplica que aún no se había puesto al día. Por qué sticky no lo cubre y qué añade Laravel 13.38 para este caso.
Leer la publicaciónLet's Encrypt añade dos perspectivas de validación: quién puede notarlo
Desde noviembre de 2026, Let's Encrypt comprueba tu dominio desde siete puntos en lugar de cinco antes de emitir un certificado. En la mayoría de sitios no cambia nada. Si filtras el acceso a la ruta del challenge por país o por IP, lee esto primero.
Leer la publicaciónPor qué la puntuación de confianza de un LLM no es una medida
Pregunta a un LLM cuánta seguridad tiene y escribirá un número como 0,85. Ese número es texto, no una medida. Qué es la calibración, cómo comprobarla y cómo construir una puntuación de confianza fiable.
Leer la publicaciónLos precios de los LLM cayeron en 2026: la lectura de caché es lo que pesa
OpenAI y Anthropic bajaron precios una y otra vez entre junio y octubre de 2026. La cronología de Max Woolf y su idea central: en el código con agentes, el precio de lectura de caché decide casi toda la factura.
Leer la publicaciónLLM y verificación formal: qué significa «demostrado» en 123 bibliotecas
Anthropic y Theorem usaron Claude para demostrar que los fuzz tests de 123 bibliotecas de código abierto nunca fallan con entradas de menos de 64 MB. Qué es la verificación formal en palabras sencillas, qué cubren las pruebas, qué no, y qué puede sacar de ello un equipo normal.
Leer la publicacióntsrs: un port de TypeScript a Rust, y qué cambia para ti hoy
Cloudflare y VoidZero anunciaron tsrs, un port del compilador de TypeScript a Rust que sigue al equipo de TypeScript en lugar de hacer un fork. Qué dicen los benchmarks, por qué Rust y no Go, y si un proyecto normal debe hacer algo ya.
Leer la publicaciónLa marca de tiempo de UUIDv7 no es lo que crees
UUIDv7 promete identificadores únicos, ordenados en el tiempo y con su fecha de creación dentro. Solo lo primero está garantizado. Qué permite la RFC, qué pasa cuando el reloj retrocede y qué debe seguir guardando una app Laravel con HasUuids.
Leer la publicaciónDos RCE críticas en PHP: quién está expuesto y en qué orden parchear
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos fallos que pueden permitir ejecución remota de código sin autenticación. Qué configuraciones de servidor están más expuestas, cómo encontrar cada versión de PHP que tienes en marcha y por qué las mitigaciones no son un arreglo.
Leer la publicaciónUn tercio de los sitios PHP corre sin parches, y 8.2 es la siguiente
W3Techs cuenta un 34,7 % de los sitios PHP en PHP 7 o anterior, ya sin soporte, y PHP 8.2 pierde el soporte de seguridad el 31 de diciembre de 2026. Qué significa soporte solo de seguridad, un calendario de migración con fechas y tres preguntas para tu hosting.
Leer la publicaciónSeguridad en Node.js, octubre de 2026: qué actualizar y por qué
Node.js 26.12.1, 24.22.1 y 22.23.4 corrigen diez vulnerabilidades, cuatro de ellas de gravedad alta: un fallo de memoria en el decodificador Brotli, dos comprobaciones de nombre de host TLS y un bug con nombres DNS. Qué código llega a ellas y cómo comprobar el Node que de verdad ejecutas.
Leer la publicaciónNode.js: randomUUID() repetido en snapshots y límites de los permisos
Dos correcciones menores de la versión de Node.js de octubre de 2026 corrigen suposiciones, no caídas: valores aleatorios repetidos entre procesos arrancados desde un mismo snapshot, y un modelo de permisos que se podía eludir. A quién afecta y a quién no.
Leer la publicaciónUna CA perdió la confianza de la web. ¿Lo sabe tu app Node?
Ocho CA intermedias de eMudhra se revocaron en octubre de 2026 y los navegadores las bloquearon en pocos días. Una app de servidor confía en la lista con la que se construyó, así que el arreglo para tus servicios lo tienes que desplegar tú.
Leer la publicaciónNext.js fuera de ciclo: la RCE de imágenes SVG y tres comprobaciones
Una RCE crítica y sin autenticación en la API Image Optimization de Next.js, alcanzable con archivos SVG en Linux basado en glibc. Corregida en 15.5.28 y 16.4.1. Tres comprobaciones te dicen dónde estás: next, sharp y el usuario del contenedor.
Leer la publicaciónLa provenance de npm no es un control de seguridad: el gusano tensorlake
Un rastreador informa de una versión de npm construida desde el repositorio real, con provenance válida, que ejecutaba un gusano ladrón de credenciales al instalarse. Qué prueba la provenance, qué no, y dónde cortar el camino hasta tus secretos.
Leer la publicaciónUn paquete, todas tus claves: la release comprometida de LiteLLM
Un tracker informa de una release maliciosa de LiteLLM en PyPI y Docker que robaba credenciales en cada arranque de Python. Por qué una pasarela de IA es un objetivo tan atractivo y cómo contener una librería que guarda todas las claves de tus proveedores.
Leer la publicaciónHan hackeado tu hosting: rota las variables de entorno en el orden correcto
Railway dice que un tercero no autorizado pudo leer variables de entorno descifradas y pide a sus usuarios que las roten. Este es el inventario y el orden crear, desplegar, revocar que convierte la rotación en una hora de trabajo y no en un día.
Leer la publicaciónUna semana, cuatro ecosistemas: incidentes PHP, Node y Python, octubre 2026
Versiones críticas de PHP y Node.js el mismo día, una autoridad de certificación con claves débiles, el almacén de secretos de un hosting y dos paquetes envenenados. Qué tienen en común los incidentes del 14 al 22 de octubre, y la checklist corta que responde a casi cada uno.
Leer la publicaciónBypass del TokenGuard de Laravel: ¿estás expuesto y qué ejecutar hoy?
Un fallo crítico en el guard de tokens de Laravel permitía que una credencial que no es una cadena coincidiera con el usuario equivocado en MySQL y MariaDB. Cómo saber con un solo archivo si tu app usa ese guard, y los dos comandos que conviene ejecutar.
Leer la publicaciónLa etiqueta revisada no es el código que corre: lockfiles en Actions
Un workflow con uses: some/action@v4 puede ejecutar otro código el mes que viene sin un solo cambio en tu repositorio. Los nuevos lockfiles de workflow de GitHub fijan los commits exactos, también los transitivos.
Leer la publicaciónMalware que ataca al instalar, y lo que revisa el cortafuegos de GitHub
Algunos paquetes maliciosos roban credenciales mientras se instalan, antes de que tu código llegue a importarlos. GitHub ofrece ahora un cortafuegos delante de npm para Enterprise Cloud. Qué revisa, qué no cubre y qué puedes hacer con cualquier plan.
Leer la publicaciónPull requests apilados en GitHub: revisiones más pequeñas, un solo merge
Un pull request de 1.500 líneas se lee por encima y se aprueba. El 6 de octubre de 2026 GitHub lanzó en disponibilidad general los pull requests apilados: una cadena de PR pequeños, cada uno revisado por separado, que se integran juntos. Qué cambió y cuándo una pila es la herramienta equivocada.
Leer la publicaciónTu agente de código puede leer tus claves SSH. Así se le pone una valla
Un agente de código ejecuta comandos como tú, así que puede leer lo que tú puedes leer. Qué restringe el sandbox local de GitHub para Copilot y las capas de defensa que puedes copiar para cualquier agente.
Leer la publicaciónSubiste una clave de API: los primeros diez minutos, en el orden correcto
Borrar el commit no vuelve secreta la clave. Revócala primero en el proveedor, revisa su uso, pásala a .env y config(), y solo después piensa en reescribir el historial.
Leer la publicaciónServidores MCP en PHP: qué ofrece el SDK oficial y cuándo no usarlo
El Model Context Protocol ya tiene un SDK oficial para PHP. Qué aporta a quien programa en PHP o Laravel, cuándo merece la pena montar un servidor MCP y por qué cada argumento de una herramienta es entrada no confiable.
Leer la publicaciónllms.txt y citas de la IA: lo que dicen las pruebas y lo que no
Un mantenedor de paquetes dice que llms.txt apenas le ayudó. Una empresa del sector dice que ChatGPT siguió recuperando un sitio lleno de cifras inventadas después de que Google lo dejara caer. Qué significa y qué sabe de verdad este sitio sobre su propio llms.txt.
Leer la publicaciónPHP 8.5 en apps Laravel: qué se gana un sitio y qué revisar primero
PHP 8.5 trajo el operador pipe, clone with, array_first() y un parser de URL de verdad. Parte de eso cambia cómo se lee el código de una app Laravel; otra parte ya la cubre Laravel. Y las deprecaciones que conviene buscar antes de actualizar.
Leer la publicaciónPor qué tu API parece lenta: la idea completa en dos bocetos
Tu endpoint es rápido, pero el correo que envía no. Una cola lo resuelve, y dos bocetos dibujados a mano explican toda la idea.
Leer la publicaciónÍndices de bases de datos explicados con una guía telefónica
Una consulta, dos formas de ejecutarla: revisar un millón de filas una por una, o bajar un árbol en tres saltos. Dos bocetos muestran la diferencia.
Leer la publicaciónAnatomía de una reserva de taxi en tiempo real
Señales GPS, WebSockets, y una llamada de voz que nunca toca tu servidor. Un boceto de todo lo que pasa entre "reservar" y "hola".
Leer la publicación