![Imagen de portada de [Vibe Coder #7] Evita sustos con las facturas de IA y nube](/assets/images/posts/0d58c5aa-a507-4618-873b-884467859592/cloud-bill-shock-limits-1.jpg)
“Me desperté y la factura de la nube era de varios millones de wones.” Publicaciones así aparecen con frecuencia en las comunidades de vibe coding y ponen los pelos de punta incluso a quien las lee. Una app creada como hobby puede devolverte el sueldo de un mes en forma de factura. Lo inquietante es que no les ocurre solo a personas especialmente descuidadas. Si no conoces el modelo de cobro, puede pasarle a cualquiera.
Por suerte, las facturas desorbitadas tienen pocas causas habituales, así que instalar medidas de seguridad con antelación bloquea la mayoría desde el origen. Configurarlas tarda cinco minutos por servicio. En esta entrega veremos de dónde salen las facturas, cómo se disparan y cómo configurar esas protecciones de cinco minutos.
Las 3 fuentes principales de la factura
Las apps creadas con vibe coding suelen generar costes en tres lugares.
1. AI API: se cobra por token. Los servicios de IA como OpenAI cobran por una unidad llamada token. Piensa en un token como un fragmento de texto. Es fácil pasar por alto que tanto la pregunta que envías (entrada) como la respuesta de la IA (salida) se cobran ambas. Además, los modelos de mayor rendimiento pueden costar varias veces más por token. Las funciones que procesan documentos largos completos y los chatbots que reenvían toda la conversación en cada ocasión acumulan costes más rápido de lo esperado.
2. DB: capacidad de almacenamiento y operaciones de lectura/escritura. Un almacén (DB) cobra por la cantidad de carga almacenada (capacidad) y por las veces que se abren y cierran sus puertas (lecturas/escrituras). La capacidad crece poco a poco, pero las lecturas/escrituras pueden dispararse en un instante si el código tiene errores.
3. Hosting: tráfico y tiempo de ejecución. Los servidores, como Vercel, cobran por la cantidad de datos enviada a los visitantes y por el tiempo real de ejecución del código del backend. Las imágenes grandes subidas sin comprimir y las tareas lentas aumentan el coste.
3 formas en que se dispara la factura
Ruta 1: robo de claves. Es el incidente que vimos en la parte 2: un bot encuentra una API key expuesta y gasta sin límite con tu tarjeta corporativa. Es la ruta más destructiva y también la más habitual.
Ruta 2: un bucle infinito en tu código. Es un caso de autodestrucción sin ladrones externos. Si el código generado por la IA oculta un circuito en el que “cada actualización de pantalla vuelve a leer la DB y esa lectura provoca otra actualización”, un solo usuario inactivo puede llamar a la DB y a la IA decenas de veces por segundo. La app parece funcionar, pero el contador de llamadas del panel sube a una velocidad absurda. Antes de desplegar, pide a la IA que “compruebe si hay código que llame repetidamente a la API o a la DB”.
Ruta 3: tráfico inesperado. La app se vuelve viral de repente (un problema bueno) o llegan bots en masa (uno malo). En ambos casos, un servicio sin protección aumenta la factura.
Protecciones de 5 minutos: límites y alertas
Este es el núcleo de la entrega. Las tres fuentes ofrecen en sus paneles las funciones de límite de gasto y alerta de presupuesto. Entra ahora en cada cuenta y configura solo estas dos cosas.
- Límite de gasto mensual: “Detén el servicio cuando se supere este importe”. En un proyecto personal, fija una cantidad asumible (por ejemplo, 10.000–50.000 wones). La app se detendrá al alcanzar el límite, pero no hay mucho que comparar entre tenerla parada un día y recibir una factura de varios millones de wones.
- Alerta de presupuesto: “Envía un correo cuando se alcance este importe”. Configúrala cerca del 50 % del límite para detectar el problema mientras la factura aún crece.
Los nombres de los menús varían, pero suelen ser Billing, Usage, Budget o Spending limit. Si no los encuentras, pregunta a la IA: “¿Dónde se configura el límite de gasto mensual en OpenAI?”. Te indicará el camino. Incluso con un plan gratuito merece la pena activar las alertas. Como vimos en la parte 6, agotar la cuota gratuita puede ser la causa silenciosa de que “ayer funcionara y hoy no”.
El principio de la parte 2 vuelve a servir de defensa: las claves solo deben estar en el backend. Si una clave no se filtra, la ruta 1 queda completamente bloqueada.
Si ya ha ocurrido
Si se te cae el alma al recibir la factura, sigue este orden.
- Detén primero la sangría. Si sospechas un robo, revoca y vuelve a generar la clave de inmediato (parte 2). Si sospechas un bucle infinito, pausa el despliegue o desactiva la función problemática.
- Confirma la causa. Los gráficos de Usage de cada panel muestran cuándo empezó el pico y qué llamadas aumentaron.
- Contacta con soporte. Sobre todo si es el primer incidente y se debió a un robo o un error: muchos proveedores reducen el importe cuando explicas la situación. No pierdes nada por preguntar, así que hazlo siempre.
- Evita que vuelva a ocurrir. Esta vez configura sin falta los límites y las alertas anteriores.
Resumen
- Los costes proceden de tres lugares: AI API (tokens), DB (capacidad y lecturas/escrituras) y hosting (tráfico y tiempo de ejecución).
- Las tres rutas hacia una factura desorbitada son el robo de claves, los bucles infinitos del código y el tráfico inesperado.
- La mejor defensa se configura en cinco minutos por servicio: límite de gasto mensual y alerta de presupuesto.
- Antes del despliegue, pide a la IA que compruebe si hay código con llamadas repetitivas y deja las claves únicamente en el backend.
- Si ya ha ocurrido: detener la sangría → confirmar la causa → contactar con soporte → instalar protecciones.
La próxima entrega será la última de la serie. Reunirá en una sola página la lista mínima de seguridad que debes revisar antes de aceptar usuarios y el mapa construido desde la parte 1.