Serie DevOps Runbook: seguridad para el stack self-hosted

Esta serie proporciona seis runbooks prácticos para operar un stack de aplicaciones self-hosted de forma segura. Está dirigida a equipos DevOps que operan Supabase, Next.js y tecnologías relacionadas en producción y quieren asegurar su infraestructura de manera sistemática.

Por qué importa un enfoque sistemático

El self-hosting da control sobre datos e infraestructura. Ese control conlleva responsabilidad: cada componente tiene sus propios requisitos de seguridad, y las dependencias entre capas permanecen invisibles cuando se revisan de forma aislada.

Un enfoque de seguridad sistemático y legible por máquina en todas las capas marca la diferencia. Según el SANS Institute (2024), las organizaciones con una Security Baseline legible por máquina detectan la deriva de configuración en promedio 14 veces más rápido que los equipos sin baseline.

Esta serie recorre el stack capa por capa y concluye con una baseline basada en YAML que consolida todas las reglas de los runbooks individuales.

Panorama de la serie

Parte	Artículo	Área de enfoque	Entregable clave
1	Supabase Self-Hosting Runbook	Fundamento de plataforma	Arquitectura de servidores, Docker Compose, RLS
2	Next.js sobre Supabase de forma segura	Capa de aplicación	Auth, Middleware, separación de entornos
3	Supabase Edge Functions de forma segura	Integraciones	Webhooks, firmas, CORS
4	Trigger.dev Background Jobs en producción segura	Procesamiento async	Tasks, idempotencia, concurrencia
5	Claude Code como control de seguridad en el workflow DevOps	Auditorías automatizadas	Custom commands, modo headless
6	Security Baseline para todo el stack	Baseline del stack completo	YAML, verificaciones automatizadas

Los artículos en detalle

Parte 1 - Supabase Self-Hosting Runbook. Describe una arquitectura de dos servidores (producción y auditoría), Docker Compose con imágenes versionadas, configuración de siete servicios y Row Level Security como requisito en todas las tablas públicas.

Parte 2 - Next.js sobre Supabase. Cubre la capa de aplicación sobre Supabase: flujo de auth con PKCE, middleware para protección de rutas, separación estricta de entornos entre servidor y cliente y patrones seguros de API route.

Parte 3 - Edge Functions. Se enfoca en el procesamiento de webhooks con verificación de firmas, configuración CORS, validación de entrada en el runtime Deno y gestión segura de secrets para integraciones con terceros.

Parte 4 - Trigger.dev Background Jobs. Describe el setup self-hosted de Trigger.dev v3, definición idempotente de tasks, control de concurrencia, estrategias de reintentos e aislamiento de secrets entre tasks.

Parte 5 - Claude Code como control de seguridad. Muestra cómo usar Claude Code como herramienta automatizada de auditoría en el workflow DevOps: custom commands, ejecuciones de auditoría headless e integración con CI.

Parte 6 - Security Baseline. Consolida todas las reglas de los artículos 1 a 5 en un archivo legible por máquina security-baseline.yml. Incluye scripts de verificación determinísticos e integración con la auditoría de Claude Code.

Para quién es esta serie

• Ingenieros DevOps que operan infraestructura self-hosted
• CTOs y líderes técnicos evaluando self-hosting vs. servicios gestionados
• Ingenieros de seguridad auditando stacks de aplicaciones
• Desarrolladores que construyen sobre Supabase y Next.js

Cómo usar esta serie

• Lea los artículos en orden del 1 al 6, ya que se construyen unos sobre otros
• Descargue las checklists de Claude Code al final de cada artículo
• Implemente las recomendaciones capa por capa en su entorno
• Use la Security Baseline del artículo 6 como puerta de monitoreo diaria