Del vibe coding a programar con IA en serio

Qué cambia y qué no

Cambia: escribir código es casi gratis y rápido; puedes probar tres enfoques en lo que antes costaba uno. No cambia: alguien tiene que decidir qué se construye, comprobar que funciona, mantenerlo y responder si falla. Ese alguien eres tú.

El flujo profesional en seis pasos

1. Contexto: el agente lee tu AGENTS.md o CLAUDE.md (comandos, convenciones y trampas).
2. Plan antes de código: pídele un plan con los ficheros que tocará y cómo lo probará; revísalo.
3. Pruebas primero: que escriba la prueba que demuestra el requisito y vea que falla.
4. Cambio pequeño: que implemente lo justo para que pase.
5. Revisión: lee el diff, no solo el resultado. Pide una revisión crítica.
6. Cierre: pruebas en verde, documentación al día y un commit con un mensaje claro.

Quiero [cambio]. Lee primero [ficheros o carpetas] y AGENTS.md. Propón un plan: ficheros que tocarás, qué cambia en cada uno, riesgos y cómo lo probarás. No escribas código hasta que te diga «adelante».

Revisa el último cambio como un revisor senior desconfiado: errores de lógica, casos límite sin probar, problemas de seguridad (entradas, secretos, permisos), rendimiento y legibilidad. Lista los hallazgos de más a menos grave, con el fichero y la línea. No los arregles todavía.

Las trampas habituales

• La prueba «arreglada» quitándola: si el agente cambia una prueba para que pase, para y pregunta por qué.
• Dependencias inventadas: comprueba que cada paquete nuevo existe y es el que crees (hay paquetes maliciosos con nombres parecidos).
• Secretos en el código: nunca claves ni contraseñas en el repositorio; usa variables de entorno.
• Cambios gigantes: si el diff no se puede revisar en 10 minutos, es demasiado grande.
• Arreglar el síntoma: pide la causa raíz antes que el parche.

Seguridad básica con agentes

• Trabaja en una rama o en una copia del repositorio.
• Configura los permisos: que pida confirmación antes de borrar, desplegar o ejecutar comandos con red.
• No le des acceso a producción ni a datos reales de clientes.
• Revisa los servidores MCP y las herramientas que instalas.

{
  "permissions": {
    "allow": ["Bash(npm test:*)", "Bash(npm run lint:*)", "Bash(git status)", "Bash(git diff:*)"],
    "deny": ["Bash(rm -rf:*)", "Bash(git push:*)", "Read(./.env)", "Read(./secrets/**)"]
  }
}

Cuándo sí vale el vibe coding

Para prototipos, scripts personales, demos y para aprender cómo podría hacerse algo. La regla: si mañana alguien depende de ello, pásalo por el flujo profesional antes.

Cómo seguir

• Plan de 12 horas de Claude Code
• Desarrollo guiado por especificaciones
• Chuleta de Claude Code

Fuentes

• Claude Code: buenas prácticas y documentación (se abre en otra pestaña)
• Claude Code: ajustes y permisos (se abre en otra pestaña)
• OWASP: Top 10 para aplicaciones con LLM (se abre en otra pestaña)

Siguiente guía: Casos de uso por oficio, con su prompt