Despliegue: de tu computador a producción

1.1. El inventario de secretos de ReservaYa

Todo lo que construiste depende de estas variables. En producción tendrán otros valores — mismas llaves de casa, distinta cerradura:

No necesitas ser experto en seguridad para lanzar con dignidad: necesitas verificar que las defensas que ya construiste están activas. Este es el repaso, capa por capa:

• Checklist de seguridad pre-lanzamiento
• RLS activo en todas las tablas — dashboard de Supabase sin alertas rojas en Database → Tables
• Toda Server Action valida con Zod y verifica sesión/rol antes de tocar datos
• Ningún secreto con prefijo NEXT_PUBLIC_ salvo los diseñados para ser públicos (URL y anon de Supabase, llave pública de Wompi)
• .env.local fuera del repositorio — revisa el historial de git, no solo el estado actual
• Webhook verifica firma + idempotencia + monto (módulo 4)
• Rutas de cron protegidas con CRON_SECRET (módulo 5)
• Mensajes de error genéricos — nada de stack traces ni "el email no existe" hacia el usuario
• Backups activados — Supabase hace backup diario automático; verifica que tu plan lo incluye

2.1. Cabeceras de seguridad en 10 líneas

Next.js permite añadir cabeceras HTTP que endurecen la app contra ataques comunes (clickjacking, sniffing de tipos):

// next.config.ts — cabeceras de seguridad básicas
const nextConfig = {
  async headers() {
    return [{
      source: "/(.*)",
      headers: [
        { key: "X-Frame-Options", value: "DENY" },            // nadie te mete en un iframe
        { key: "X-Content-Type-Options", value: "nosniff" },   // no adivinar tipos de archivo
        { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
      ],
    }];
  },
};

export default nextConfig;

Vercel (los creadores de Next.js) despliega directo desde GitHub: cada git push a main publica una versión nueva. El plan Hobby es gratuito y suficiente para ReservaYa.

1. Importa el repositorio

   En vercel.com → Add New → Project, autoriza GitHub y selecciona reservaya. Vercel detecta Next.js solo; no cambies nada del build.

2. Carga las variables de entorno

   En Settings → Environment Variables pega el inventario de la sección 1 con los valores de producción. Marca SUPABASE_SERVICE_ROLE_KEY y demás secretos como Sensitive.

3. Primer deploy

   Clic en Deploy. En ~2 minutos tienes https://reservaya.vercel.app funcionando con HTTPS incluido.

4. Actualiza las URLs en los servicios externos

   El mundo exterior aún apunta a tu túnel de desarrollo. Cambia:

   • Wompi → Eventos: URL del webhook a https://reservaya.vercel.app/api/webhooks/wompi
   • Supabase → Authentication → URL Configuration: Site URL y Redirect URLs con el dominio nuevo
   • NEXT_PUBLIC_APP_URL en Vercel con el dominio final
5. Prueba el ciclo completo en producción

   Registro → reserva → pago sandbox → webhook → email de confirmación. Solo cuando este ciclo funciona en la URL pública, solicita a Wompi las llaves productivas.

Nadie escribe su tarjeta en reservaya.vercel.app. El dominio propio no es vanidad: es la señal de confianza mínima para cobrar en línea.

4.1. Comprar y conectar el dominio

1. Compra el dominio

   En Namecheap, Cloudflare Registrar o GoDaddy: donbarbas.co (~USD $10–30/año según extensión). Los .co, .mx, .com.ar locales generan más confianza que un .xyz barato.

2. Agrégalo en Vercel

   Settings → Domains → Add. Vercel te da los registros DNS exactos: un A apuntando a su IP para donbarbas.co y un CNAME para www.

3. Configura el DNS en el registrador

   Copia esos registros en el panel DNS de donde compraste el dominio. La propagación tarda de minutos a algunas horas.

4. HTTPS automático

   Vercel emite y renueva el certificado SSL (Let's Encrypt) solo. Cuando el dominio resuelva, el candado ya está ahí — no hay que comprar ni instalar certificados.

5. Verifica el dominio de email

   En Resend agrega los registros TXT (SPF y DKIM) al mismo DNS para enviar desde citas@donbarbas.co. Sin esto, tus confirmaciones caen a spam.

4.2. Mini-proyecto final: ReservaYa en vivo

4.3. ¿Qué sigue después del curso?