Análisis de Arquitectura: NovaSaaS Platform

Este informe presenta el análisis de la plataforma SaaS B2B de NovaSaaS tras una auditoría de 3 semanas. La plataforma presenta deuda técnica significativa en el módulo de facturación y una arquitectura de microservicios parcialmente implementada que genera inconsistencias en la capa de datos.

Infraestructura

La plataforma está desplegada en AWS con una arquitectura híbrida monolito-microservicios:

• Backend principal: Node.js 16 (EOL) + Express 4.18
• Base de datos: PostgreSQL 13 (sin pooling de conexiones)
• Cache: Redis 6.2 (configuración por defecto, sin eviction policy)
• Frontend: React 17 + Webpack 4 (sin code splitting)
• Autenticación: JWT con secretos hardcodeados en .env.production

Métricas de Rendimiento

Cobertura de Tests

Módulo de Autenticación:   12% cobertura
Módulo de Facturación:      3% cobertura
API REST:                  28% cobertura
Frontend:                   0% cobertura
─────────────────────────────────────
Total:                     11% cobertura

P0 — Vulnerabilidades de Seguridad

CVE-2024-21538 (jsonwebtoken): La versión 8.5.1 tiene una vulnerabilidad de verificación de firma que permite forjar tokens si el atacante conoce el algoritmo none.

Secretos expuestos: El repositorio Git tiene 14 commits históricos con credenciales AWS y claves de Stripe en texto plano.

SQL Injection potencial: El módulo de reporting usa concatenación directa de strings en 7 endpoints sin parametrizar.

P0 — Módulo de Facturación Roto

Race condition en el procesamiento de pagos recurrentes — sin lock distribuido:

// PROBLEMA: No hay lock distribuido
async function processRecurringPayment(subscriptionId) {
  const sub = await Subscription.findById(subscriptionId);
  if (sub.status === 'active' && sub.nextBillingDate <= new Date()) {
    await chargeCustomer(sub.customerId, sub.amount); // puede ejecutarse 2x
    await sub.update({ nextBillingDate: addMonth(sub.nextBillingDate) });
  }
}

Esto ha causado cobros duplicados a 23 clientes en los últimos 6 meses (€4.200 en reembolsos).

P1 — Degradación de Base de Datos

PostgreSQL opera sin connection pooling. Bajo carga, se abren hasta 340 conexiones contra un límite de max_connections = 100:

La visión target elimina el acceso directo a base de datos y centraliza la autenticación:

┌─────────────────────────────────────────────────────┐
│                   CloudFront CDN                     │
└─────────────────────┬───────────────────────────────┘
                      │
┌─────────────────────▼───────────────────────────────┐
│              API Gateway (Kong)                      │
│  Rate limiting · Auth · Request validation           │
└──────┬──────────────┬──────────────┬────────────────┘
       │              │              │
┌──────▼──────┐ ┌─────▼──────┐ ┌───▼──────────┐
│   Auth SVC  │ │ Billing SVC│ │  Core API    │
│  (Keycloak) │ │  (Stripe)  │ │  (Node 20)   │
└──────┬──────┘ └─────┬──────┘ └───┬──────────┘
       │              │             │
┌──────▼──────────────▼─────────────▼────────┐
│           PostgreSQL + PgBouncer            │
│        Redis (con eviction LRU)             │
└─────────────────────────────────────────────┘

Cambios Clave

1. Keycloak reemplaza el sistema JWT casero → SSO, MFA, gestión centralizada
2. PgBouncer en modo transaction pooling → máx 20 conexiones reales
3. Kong API Gateway → rate limiting por tenant, circuit breaker
4. Node.js 20 LTS → soporte activo, 40% mejora de rendimiento V8
5. Stripe Billing nativo → elimina race condition de facturación

Fase 1 — Seguridad (Semanas 1-2)

• Rotar todas las credenciales (AWS, Stripe, JWT secrets)
• Reescribir historial Git con git filter-repo
• Actualizar jsonwebtoken a 9.0.2
• Parametrizar los 7 endpoints vulnerables a SQL Injection
• Activar WAF en CloudFront (managed ruleset OWASP)

Fase 2 — Estabilización (Semanas 3-6)

• Instalar y configurar PgBouncer (transaction mode, pool_size=15)
• Migrar facturación recurrente a Stripe Billing con webhooks idempotentes
• Subir Node.js de 16 a 20 LTS
• Configurar Redis con eviction policy allkeys-lru y maxmemory 2GB

Fase 3 — Modernización (Semanas 7-14)

• Desplegar Kong API Gateway en modo DB-less
• Implementar Keycloak 24 con realm NovaSaaS
• Migrar autenticación (feature flag por porcentaje de usuarios)
• Actualizar React 17 → 18 + Vite (eliminar Webpack 4)
• Implementar CI/CD con GitHub Actions + Terraform

ROI Estimado

NovaSaaS tiene una plataforma con fundamentos sólidos pero deuda técnica acumulada que representa un riesgo operativo y de seguridad significativo. La intervención en tres fases permite:

1. Eliminar el riesgo de seguridad inmediato (Fase 1, 2 semanas)
2. Estabilizar la plataforma y eliminar las caídas recurrentes (Fase 2, 4 semanas)
3. Modernizar el stack para soportar el crecimiento futuro (Fase 3, 8 semanas)