Una plataforma de confianza para el espacio entreun problema y la app que lo resuelve.

Cada servicio con estado tiene su propia base de datos y su propia cadena de migraciones, desde su primera versión. Cuando un servicio necesita datos de otro, guarda el identificador y un read model local detrás de un puerto que define él mismo, de modo que la forma que almacena es la que necesita, no la que casualmente tiene el dueño.

La regla no se mantiene por disciplina. ArchUnit rompe la compilación si un servicio importa los tipos de persistencia de otro y, tras la separación física, ya no queda un esquema compartido al que llegar ni por accidente.

ConcesiónToda lectura entre servicios es eventualmente consistente. Comprobaciones de escritura como «¿existe esta app?» dejan de ser certezas y pasan a converger, algo aceptable aquí y anotado donde aplica en lugar de descubrirse más tarde.

Las consultas van contra proyecciones locales con SQL plano y búsqueda de texto de Postgres sobre un índice GIN. Aquí no hay entidades ORM a propósito: el lado de lectura no tiene un dominio que proteger, así que un mapeador de objetos sería puro coste.

Dos reglas mantienen honesta la paginación. La ordenación es un enum y el enum es la lista blanca: un valor desconocido se rechaza antes de que corra nuestro código, porque la cláusula tiene que interpolarse en una consulta nativa y una cadena de cliente jamás debe llegar ahí. Y toda ordenación termina con el identificador de fila, porque sin un orden total estricto las filas empatadas se repiten o desaparecen en silencio entre páginas.

ConcesiónTodo lo que quieras buscar tiene que viajar primero en un evento. No hay un join cómodo al que recurrir cuando hace falta un campo nuevo, que es justo el objetivo, pero también significa que a veces una función de búsqueda empieza en otro servicio.

Reducirlo a un único objeto de criterios y una única consulta nativa eliminó nueve métodos de repositorio ya muertos e hizo que el endpoint se comportara como su propia documentación siempre afirmó.

Los atributos JSON se consultan por contención del documento completo y no por extracción de campos (la extracción ni siquiera puede responder a la pertenencia a un array), lo que además hace que un solo índice GIN sirva a todos los ejes JSON, presentes y futuros.

ConcesiónUna consulta grande se lee de un vistazo peor que cinco métodos pequeños. A cambio, es imposible que dos filtros discrepen sobre cuál manda.

El arreglo es una excepción por propiedad en ese único campo, no un cambio del valor por defecto global, que es correcto para todo lo demás. La ausencia también obtuvo una sola representación: la entrada vacía se normaliza a nulo en el propio comando, de modo que ningún lector tiene que comprobar dos clases de «sin imagen».

Lo que merece recordarse es cómo se detectó. Las pruebas con mocks pasaban en ambos casos: verificaban un mapeador que hacía exactamente lo que se le decía. Hizo falta una prueba de integración contra una base de datos real para ver que la fila nunca cambiaba.

ConcesiónCada futuro campo opcional y borrable necesita la misma excepción explícita y una prueba que lo vacíe de verdad. Un coste pequeño y recurrente, aceptado porque la alternativa es toda una clase de fallo silencioso de datos.

Un listener que corre antes de confirmar añade el evento al outbox del servicio dueño en la misma conexión. Un rollback no publica nada. Una confirmación hace el evento tan duradero como los datos que describe.

Un relay programado reclama las filas pendientes con SKIP LOCKED (lo que hace seguro correr varias instancias), estampa un identificador estable que después se usa para deduplicar y publica con la clave del agregado, de modo que los eventos de un agregado mantienen el orden.

ConcesiónLa publicación es ahora asíncrona y algo diferida, y el intervalo del relay se convierte en una palanca real de latencia. La captura de cambios eliminaría el sondeo; es un aplazamiento registrado y deliberado, no un descuido.

Para los eventos de snapshot esto es una comodidad: el consumidor fija un valor, así que una reproducción converge igualmente. Para los dos topics que llevan un cambio en lugar de un estado (un ajuste de reputación y una recompensa) es lo único que evita el recuento doble.

La vía de recompensa lleva una segunda protección independiente en el productor: una marca de tiempo de una sola vez sobre el propio contenido. La deduplicación del consumidor frena una reentrega; la marca del productor frena que un ciclo de publicar → despublicar → volver a publicar recompense dos veces. Dos capas porque un delta necesita realmente ambas.

ConcesiónCada consumidor paga una escritura pequeña por evento y el registro hay que podarlo en algún momento. Barato al lado de la clase de fallo que elimina.

Un único manejador de errores sirve a toda la flota: tres intentos con espera creciente y luego el topic de mensajes muertos. Los fallos de deserialización se saltan los reintentos por completo: reintentar una carga que nunca va a parsearse solo es un fallo más lento.

La recuperación importa tanto como la contención. El endpoint de reproducción conserva las cabeceras, lo que significa que el identificador original sobrevive, así que reproducir un lote aplicado a medias es seguro porque la deduplicación sigue reconociendo lo que ya aterrizó.

ConcesiónLos reintentos son bloqueantes en lugar de enrutarse por topics de reintento. Para consumidores idempotentes de bajo volumen es más simple y suficiente; la vía de mejora está escrita para el día en que el volumen diga lo contrario.

La primera llamada se construyó con cuidado (interfaz HTTP tipada, tiempos de espera de transporte, reintentos, cortacircuitos, bulkhead, un mapeador anticorrupción y una degradación elegante) y su ciclo completo de cortacircuitos se demostró bajo una caída real de la dependencia.

Después el dueño empezó a publicar esos mismos datos como evento, dos consumidores los proyectaron en local y el cliente se borró. La biblioteca de transporte y el endpoint interno se conservaron en vez de eliminarse: hoy no tienen consumidores y son exactamente lo que usará la próxima necesidad síncrona real. Esa misma pila lleva hoy las llamadas de publicación del servicio de moderación.

ConcesiónLa lectura proyectada es eventualmente consistente, así que una comprobación de existencia en escritura puede discrepar brevemente de la realidad. Aceptado a sabiendas y con las rutas afectadas documentadas.

Los servicios nunca ven el proveedor externo. Un único bean decodificador en un starter compartido los cambió todos a la vez, sin código por servicio. El token interno vive dos minutos, lo bastante poco como para que uno filtrado no valga casi nada.

La parte sutil es el rol. No se copia del token externo: el gateway lo resuelve desde la propia base de datos del servicio de identidad, con una caché breve, de modo que un permiso concedido dentro del producto surte efecto en toda la flota dentro de esa ventana y no en el siguiente inicio de sesión del usuario.

ConcesiónEl coste es la disponibilidad. Cuando identity no puede responder, el borde rechaza la petición con un 503 en lugar de confiar en el rol que declara el token externo; una versión anterior caía abierta ahí y una campaña de resiliencia lo cerró. El tráfico anónimo no se ve afectado y una caché de treinta segundos sostiene a los usuarios ya vistos durante un corte breve, así que lo único que se rechaza es una petición autenticada de alguien a quien nadie ha visto hace poco.

La propagación es solo derivación: sin evento nuevo, sin read model, sin llamada síncrona. El servicio de identidad expone el valor derivado, el gateway lo estampa como claim al emitir el token interno y cada servicio lee el claim. Añadir una función restringida a premium es leer un booleano.

El derecho en sí es la unión de las concesiones activas de un usuario: una suscripción de pago, un código promocional, una cortesía concedida por un administrador. Por eso una suscripción que caduca nunca degrada a alguien que aún tiene una promoción válida: la pregunta «¿tiene derecho este usuario?» se hace en un solo sitio y se responde con todos los motivos a la vez.

ConcesiónEl claim es tan fresco como la ventana de caché. Es una elección deliberada: ir y volver a identity en cada petición del borde sería un trato mucho peor.

Con la bandera apagada, el checkout, el ciclo de vida de la suscripción, el libro de pagos, la lista de planes, el webhook del proveedor y la superficie administrativa de reembolsos son inaccesibles para todo el mundo: usuario, administrador o anónimo. Dos capas sobre una bandera: la configuración de seguridad deniega las rutas y el caso de uso del checkout se niega dentro del proceso, así que no puede iniciarse ningún cargo ni desde dentro.

El resto del diseño asume que algún día se encenderá. Nunca se almacena ningún dato de tarjeta: los guarda el formulario alojado del proveedor. El importe siempre se resuelve en el servidor a partir de un identificador de plan, nunca se acepta del cliente. El acceso solo se concede desde un estado confirmado por webhook, porque un retorno del navegador puede abandonarse o falsificarse y no es una autoridad.

ConcesiónEl código que no se ejecuta no se ejercita. Por eso el orden del interruptor tiene su propia prueba, para que la puerta más externa no se pudra mientras espera.

Dónde vive una regla así decide hasta dónde llega. La única biblioteca que compartían los catorce módulos arrancables era la de observabilidad, y el starter de seguridad no puede añadirse al gateway en absoluto: arrastra la pila de servlets, y un gateway reactivo se niega a arrancar cuando la encuentra en el classpath. Abrir un módulo nuevo era mejor que esconder una regla de seguridad dentro de un jar que lleva el nombre de otra cosa.

El hallazgo más afilado fue un valor por defecto versionado que funcionaba. El endpoint de claves del proveedor de identidad apuntaba por defecto a un tenant de desarrollo en vivo, así que olvidarlo en producción no fallaba: aceptaba en silencio las firmas de ese tenant, convirtiendo a cualquiera que se hubiese registrado allí en un usuario válido aquí. Cuando un valor por defecto es inevitable, elige uno que no pueda funcionar —un host reservado e inválido— antes que uno que funcione contra la cosa equivocada.

ConcesiónCatorce módulos ahora se niegan a arrancar si falta una clave: un primer despliegue peor y un segundo año mejor. El fallo es ruidoso, inmediato y dice el nombre de la clave.

Sobreviven dos sobreescrituras de dependencia, y cada una lleva su condición de retirada en un comentario en lugar de en la memoria de alguien: bórrala el día en que un escaneo salga verde sin ella. Las supresiones cumplen el mismo estándar. El fichero exige una justificación y una fecha de caducidad, y el escáner aplica la fecha, así que una entrada deja de silenciar nada cuando vence y la puerta se pone roja por sí sola.

Las entradas de la compilación también son dependencias. La etiqueta de una acción de workflow es un puntero móvil: si se mueve, se ejecuta otro código contra nuestro checkout con nuestro token, y en nuestro diff no cambia nada, así que las acciones se fijan por commit. El wrapper de compilación verifica por hash el archivo que descarga, porque la seguridad del transporte autentica al servidor, no al artefacto. Las imágenes base también están fijadas, y sin eso escanearlas no significa nada: una sola máquina había acumulado en silencio siete imágenes de builder y cinco de ejecución, y nada registraba cuál había usado cada compilación.

ConcesiónUn escáner en lugar de dos. Dos habrían significado dos bases de datos de vulnerabilidades, dos umbrales y dos ficheros de supresión que mantener de acuerdo: exactamente la divergencia que esta base de código sigue pagando en otros sitios, importada a la cadena de suministro.

El evento de borrado de cuenta tenía dos consumidores y ambos hacían lo mismo: eliminar un nombre proyectado. El nombre desaparecía y el contenido no, así que cada conversación con el asistente, con su prompt y su respuesta completos, seguía asociada indefinidamente al usuario borrado. Ahora el borrado alcanza el contenido, y alcanza primero al duplicado: un registro de evaluación incrusta el mismo material literalmente y no tiene columna de usuario propia, así que debe irse dentro de la misma transacción y antes de la fila que lo une.

Borrar no es la respuesta correcta para cada categoría, y decir cuál lo es constituye el trabajo. Una conversación privada se borra. Una contribución pública permanece y se anonimiza al leerla, porque eliminarla reescribe las páginas de otras personas. Un voto permanece, porque es una entrada de un número ya publicado. Los registros de pago permanecen porque la ley lo exige. Aparte, una línea de log es una segunda copia sin dueño, sin retención y sin forma de atender una solicitud de borrado, así que lo que viaja allí es el identificador seudónimo; y el peor infractor era el valor por defecto: un emisor de correo de relleno escribía una línea por destinatario, de modo que cada difusión volcaba el directorio de usuarios en el log.

ConcesiónAnonimizar en el momento de la lectura cuesta una consulta en rutas que antes unían un nombre directamente. Es la única versión que deja intacto el historial de todos los demás.

La primera medición en vivo parecía una regresión: una petición anónima de salud devolvía el desglose completo de componentes, una fuga cerrada días antes. No había regresado. Las imágenes se etiquetaron dos horas antes de que aterrizara esa corrección, y ninguna de las cinco fases posteriores existía en ningún contenedor, mientras todas las comprobaciones del árbol de fuentes estaban en verde. Un repositorio de imágenes caduca en silencio bajo una etiqueta móvil, así que ahora cada servicio sella su compilación y una comprobación rechaza una flota más antigua que el código que dice ejecutar.

Dos suites estaban en rojo o ausentes y nadie podría haberlo sabido, porque nada las ejecutaba. La suite de cabeceras del frontend no tenía ni script ni workflow. El nivel profundo de extremo a extremo solo se dispara con una etiqueta de versión, y este repositorio nunca ha tenido ninguna; su primera ejecución real contra una flota viva encontró dos defectos nuevos que leer el código no habría encontrado, porque en ambos casos el código parece correcto. Un manejador general convertía excepciones de petición inválida del framework en errores de servidor desde un endpoint anónimo, y el único módulo que no puede heredar el contrato de error compartido resultó ser el que da a internet.

ConcesiónProbar el sistema en ejecución es lento, necesita contenedores y no puede correr en cada commit. Por eso es un nivel con su propio disparador, y la lección anotada al lado es que un disparador que nadie acciona equivale a no tener prueba.

El dominio es Java plano sin framework dentro, que es lo que permite probar el motor de puntuación como aritmética y no como un contexto de Spring. El modelo de persistencia está separado del modelo de dominio a propósito: una anotación de ORM es un asunto de almacenamiento y no tiene por qué dar forma a una regla de negocio.

Los límites de transacción viven solo en los interactores, los errores son documentos de problema RFC 7807 y cada servicio es dueño de su cadena de migraciones. La estratificación la comprueba ArchUnit y no una revisión, así que sigue siendo cierta un viernes por la tarde.

ConcesiónMás ficheros por funcionalidad que en un servicio pragmático de tres capas. Con trece servicios compensa; con uno probablemente sería excesivo.

Por eso solo hay una puerta: el ciclo de estados existente responde a «¿esto es visible públicamente?». Lo que cambió es cuándo se disparan los eventos. Los flujos públicos ya no publican al crear (la entidad todavía no es pública) sino al aprobar, y despublicar emite el tombstone de eliminación. Los consumidores no añadieron ningún filtro: simplemente ahora solo reciben eventos de cosas que el público puede ver.

Ese cambio dejó al descubierto toda una clase de fallo. Cada ruta de escritura que cambia la visibilidad tiene que emitir el evento, y un endpoint de administración no lo hacía, así que un elemento rechazado por ahí seguía vivo en el índice de búsqueda y en el corpus del asistente. El arreglo emite sobre la propia transición de visibilidad en lugar de confiar en que cada llamante se acuerde.

ConcesiónLa aprobación es un cuello de botella humano y hubo que construir acciones en lote, con informe honesto de éxito parcial, porque un lote que dice «hecho» cuando salieron bien once de doce es peor que no informar.

La asimetría es todo el diseño. La aplicación llega al broker y a la base de datos a través del proxy; el consumidor de la propia prueba se conecta directamente. Así una prueba puede quitarle Kafka a la aplicación, ver cómo se acumula el outbox con sus contadores de reintentos, restaurar el broker y comprobar que se vacía, todo ello con su vía de verificación viva.

Un detalle nada obvio lo hace posible. Un cliente de Kafka arranca contra una dirección y después recibe la dirección anunciada del broker, a la que se conecta directamente, así que hacer proxy solo de la dirección de arranque no hace proxy de nada. Por eso el broker se levanta anunciando el puerto del propio proxy, con lo que tanto el arranque como los datos pasan por él. Sin eso, cortar el proxy no corta nada y la prueba pasa por el motivo equivocado.

ConcesiónEstas pruebas gastan segundos reales dentro de las caídas a propósito, así que la capa está etiquetada y excluida de la compilación por defecto. El ciclo rápido sigue siendo rápido; el caos corre con su propio perfil.

El corpus es el triángulo app–problema–match, proyectado hacia el servicio de IA desde los mismos eventos que consumen los demás. La recuperación es una búsqueda de vecinos aproximados sobre embeddings multilingües, con el índice ajustado para que la cobertura no se hunda en silencio cuando los filtros estrechan el conjunto de candidatos.

La capa de aplicación nunca sabe qué proveedor responde. En esa frontera hay dos lecciones grabadas. Pedirle a un modelo que «devuelva JSON» no es un contrato: envuelve la salida en un bloque de código y el parseo falla; prefijar la llave de apertura pasa la primera prueba y luego muere con una comilla sin escapar dentro de una cadena, una clase de fallo que el prefijo no puede evitar por construcción. El arreglo definitivo es decodificación restringida contra un esquema, que hace la salida inválida irrepresentable y no meramente desaconsejada.

ConcesiónAnclarse estrictamente en nuestro propio contenido significa que el asistente dirá que no lo sabe en vez de adivinar. Aquí es el comportamiento correcto y aun así, de vez en cuando, una demo peor.

Cuatro capas corren en orden en lo alto de cada caso de uso que gasta: una ventana corta deslizante, un techo semanal, un límite diario global y un fusible acumulado. Las lecturas fallan cerrando (la cartera no se abre porque una base de datos estuviera un momento inaccesible) y una ventana solo se abre con una petición que pasó todas las capas, así que un rechazo nunca arranca el reloj de nadie.

El coste se calcula exactamente en un sitio, el adaptador del proveedor, y un modelo sin precio registrado se niega a arrancar: algo cuyo coste no se puede calcular nunca debe atender tráfico. Además, una vía automática cara no se limitó sino que se eliminó: el guardián de presupuesto más seguro es no tener un gastador sin supervisión.

ConcesiónSumar un libro mayor en cada petición cuesta una consulta. Es barato al lado de la llamada al modelo que protege, y es la única versión verdadera del número.

Los datos públicos recolectados se normalizan a contenido neutral de plataforma y se escriben por la API de escritura habitual del dueño, donde aterrizan pendientes de revisión como todo lo demás. El sembrador no reimplementa la moderación: la alimenta. La seguridad ante repeticiones viene de un registro de procedencia por fuente e identificador externo, no de deduplicación de eventos: no consume ni produce ninguno.

Tampoco tiene superficie pública alguna: sin ruta en el gateway, sin API externa, solo un endpoint de operación aislado de la red. A un componente que escribe en nombre de todos los demás debería poder llegar la menor cantidad de gente posible.

ConcesiónUn catálogo sembrado sin puntuaciones parece más vacío que uno con puntuaciones inventadas. Ese es el estado honesto de una plataforma antes de tener usuarios, y mostrarlo es justamente el objetivo.

Tres elecciones la sostienen. Un prior bayesiano atrae las muestras pequeñas hacia el centro, de modo que tres votos entusiastas no producen un diez perfecto. El decaimiento por antigüedad pesa menos las opiniones viejas (el software envejece) pero tiene un suelo, porque una valoración antigua no es una valoración inútil. Y el desglose por ejes se publica junto al titular, porque un solo número nunca responde al «por qué».

El motor toma votos y una marca de tiempo y devuelve un resultado. Sin repositorio, sin reloj, sin lectura de configuración, lo que significa que se prueba como aritmética y que las mismas entradas siempre dan la misma salida. Las puntuaciones que cachean otros servicios llegan como eventos que llevan el valor calculado, así que una reentrega converge en lugar de acumularse.

ConcesiónLa regularización hace que los matches nuevos parezcan poco llamativos durante un tiempo. Es honesto: una nota de tres votos no debería parecerse a una de trescientos.