De la Idea al Producto: Construyendo un CRM para Insumos de Enfermedades Respiratorias con Vibe Coding y Bolt AI
Introducción
El Vibe Coding CRM representa una de las aplicaciones más concretas del nuevo paradigma de desarrollo asistido por inteligencia artificial, donde la intención del desarrollador —expresada en lenguaje natural— es suficiente para construir una plataforma empresarial funcional.
En el presente artículo se reportan los resultados de un ejercicio de ingeniería de software basado en este enfoque: la construcción de una plataforma CRM (Customer Relationship Management) orientada a la gestión comercial de insumos para el tratamiento de enfermedades respiratorias, utilizando como herramienta central la plataforma Bolt AI. El ejercicio evidencia cómo el Vibe Coding, lejos de ser una solución mágica, exige del desarrollador la capacidad de actuar como un arquitecto de sistemas: definiendo con precisión los requerimientos, supervisando la lógica generada y tomando decisiones críticas en materia de seguridad y arquitectura.
¿Qué es el Vibe Coding?
Definición y origen
El término Vibe Coding fue acuñado por Andrej Karpathy —cofundador de OpenAI y ex director de IA en Tesla— en febrero de 2025, y su adopción en el vocabulario tecnológico global fue instantánea. Según Wikipedia (2025), el Vibe Coding se define como “una técnica de programación dependiente de IA en la que una persona describe un problema en unas pocas oraciones como estímulo para un modelo extenso de lenguaje (LLM), el cual genera el software, cambiando el rol del programador de la codificación manual a la guía, prueba y refinamiento del código fuente generado por IA”.
En términos más prácticos, Google Cloud (2025) describe este enfoque como aquel donde “el rol principal deja de ser escribir código línea por línea para convertirse en guiar a un asistente de IA que genera, refina y depura una aplicación a través de un proceso conversacional”. Por su parte, Brennan (2026) complementa la definición al señalar que el Vibe Coding implica “crear software donde el usuario no necesariamente comprende el código que está siendo producido”.
Este paradigma no elimina la necesidad del conocimiento técnico; lo redistribuye. El desarrollador se convierte en un arquitecto de intenciones: quien define la ontología del negocio, establece las restricciones de seguridad, valida los resultados y guía las iteraciones. La IA, por su parte, se encarga de la generación del código repetitivo (boilerplate), la construcción de esquemas de base de datos, la validación de formularios y la implementación de patrones de interfaz.
Beneficios del Vibe Coding
El Vibe Coding ofrece ventajas significativas frente al desarrollo tradicional, especialmente en contextos académicos y de prototipado rápido:
- Reducción drástica del tiempo de desarrollo: tareas que normalmente tardan semanas —como la configuración del entorno, la definición del esquema de base de datos y la construcción de la interfaz de usuario— se comprimen en horas.
- Accesibilidad: permite que perfiles no técnicos (diseñadores, analistas de negocio, emprendedores) participen activamente en la construcción del software al describir sus necesidades en lenguaje natural.
- Iteración ágil: la capacidad de refinar el producto a través del diálogo con la IA acelera los ciclos de retroalimentación y reduce la fricción en la fase de diseño.
- Generación de código estructurado: herramientas como Bolt AI no solo generan código funcional, sino que también producen una arquitectura modular coherente, árbol de archivos organizado y componentes reutilizables.
- Auditoría proactiva de seguridad: plataformas avanzadas como Bolt detectan vulnerabilidades en los esquemas generados y ofrecen mecanismos de corrección asistida.
Desventajas y limitaciones
Sin embargo, el Vibe Coding no está exento de riesgos, especialmente en contextos de producción:
- Deuda técnica invisible: el código generado puede contener patrones subóptimos o dependencias innecesarias que no son evidentes a simple vista.
- Falta de comprensión profunda: cuando el desarrollador no entiende el código producido, la capacidad de depurar errores complejos o escalar la solución se ve comprometida.
- Riesgos de seguridad latentes: la IA puede generar código funcional pero inseguro si las instrucciones no incluyen explícitamente directrices de seguridad (inyección SQL, políticas de acceso por fila, manejo de tokens, entre otros).
- Dependencia de la plataforma: el prototipo generado puede estar atado a la infraestructura del proveedor (como Bolt Database), limitando la portabilidad del sistema.
- Calidad de los prompts como cuello de botella: la precisión del resultado depende directamente de la calidad de las instrucciones. Prompts ambiguos producen arquitecturas incompletas o incorrectas.
El CRM como Sistema Central del Negocio Comercial
Más allá de una base de datos de contactos
Un sistema CRM (Customer Relationship Management) suele ser malinterpretado como una simple agenda electrónica o una hoja de cálculo sofisticada. Para un arquitecto de software, sin embargo, un CRM representa un sistema integrado de gestión de estado y flujos de trabajo correlacionados que centraliza el ciclo de vida completo de un cliente.
Su propósito no es únicamente almacenar datos, sino estructurar la interacción entre la empresa y el exterior en cada punto de contacto: preventa, venta, soporte y fidelización. En el contexto específico de la comercialización de insumos para enfermedades respiratorias —un sector que requiere trazabilidad de clientes institucionales, seguimiento de oportunidades con hospitales y clínicas, y gestión de equipos comerciales especializados—, disponer de un CRM propio y personalizado representa una ventaja competitiva significativa.
Dimensiones arquitectónicas de un CRM empresarial
Desde una perspectiva de ingeniería, un CRM empresarial se articula en tres dimensiones esenciales:
CRM Operacional: Automatización de Procesos
Es la capa que interactúa directamente con los usuarios de la empresa: vendedores, agentes de soporte y equipos de marketing. Su función es automatizar los flujos de trabajo cotidianos a través de la automatización de la fuerza de ventas (Sales Force Automation), la gestión de campañas y la atención al cliente. En términos de base de datos, esto se traduce en relaciones complejas entre entidades como Companies, Contacts, Leads, Deals, Activities y Tickets dentro de un esquema relacional en PostgreSQL.
CRM Analítico: Inteligencia de Datos
Esta capa transforma los datos transaccionales en conocimiento accionable. Permite calcular métricas críticas de negocio como el CAC (Costo de Adquisición de Clientes), el LTV (Valor de Vida del Cliente), el Churn Rate y las tasas de conversión del embudo de ventas. Los datos se estructuran en vistas indexadas o almacenes de datos para alimentar dashboards interactivos sin penalizar el rendimiento de la base de datos principal.
CRM Colaborativo: Sincronización Interdepartamental
Históricamente, los departamentos de ventas, marketing y soporte técnico operaron en silos aislados, generando experiencias fragmentadas para el cliente. El CRM colaborativo resuelve este problema centralizando el historial completo de interacciones —correos, llamadas, minutas de reuniones, tickets de soporte— a lo largo de toda la organización. Mediante WebSockets o colas de mensajería (como Redis o RabbitMQ), es posible notificar instantáneamente a un agente cuando soporte técnico abre un ticket crítico para uno de sus clientes clave.
Proceso de Desarrollo: Del Prompt al Prototipo
Fase 1 — Ingeniería de Requerimientos con ChatGPT
El proceso partió de un prompt base orientado originalmente al desarrollo de una aplicación de realidad aumentada, que fue utilizado como plantilla de requerimientos por sus especificaciones técnicas robustas en materia de seguridad, modularidad y despliegue. Este prompt fue procesado por ChatGPT para actuar como traductor de arquitectura, reformulando los objetivos hacia el dominio CRM SaaS empresarial.
El prompt de referencia inicial indicaba:
"Actúa como un experto desarrollador [...] Construye toda la aplicación y refina este prompt desde los requerimientos funcionales y no funcionales [...] es importante que la aplicación aplique métricas, sistemas de seguridad contra el hacking ético, un sistema de autenticación con Google, recuperación de contraseña CAPTCHA, realiza las mejores prácticas de ingeniería de desarrollo de software incluyendo pentesting y OWASP [...]"
A partir de esta base, ChatGPT generó un prompt definitivo —estructurado en secciones técnicas precisas— destinado a Bolt AI para la construcción del CRM.
Fase 2 — Ejecución en Bolt AI para Vibe Coding CRM
El prompt definitivo fue introducido en la plataforma Bolt AI, indicándole que debía actuar como:
Actúa como un arquitecto senior Full Stack especializado en plataformas CRM SaaS
empresariales, arquitectura cloud-native, inteligencia artificial aplicada a negocios
y sistemas escalables multiusuario.
Necesito que construyas una plataforma CRM moderna, profesional y lista para producción,
enfocada en gestión de clientes, ventas, automatización comercial y analítica empresarial.
La aplicación debe seguir las mejores prácticas de ingeniería de software, DevSecOps,
Clean Architecture y seguridad OWASP.
# OBJETIVO GENERAL
Construir un CRM SaaS empresarial que permita:
- Gestión de clientes.
- Gestión de leads.
- Pipeline de ventas.
- Seguimiento comercial.
- Automatización de tareas.
- Integración con correo.
- Chat interno.
- Dashboard analítico.
- Reportes en tiempo real.
- IA para asistencia comercial.
- Sistema multiusuario con roles y permisos.
- Arquitectura escalable y segura.
# STACK TECNOLÓGICO
Frontend: Next.js 15, React, TypeScript, TailwindCSS, Shadcn/UI, Zustand, React Query,
Framer Motion.
Backend: NestJS, GraphQL, REST API.
Base de datos: PostgreSQL, Redis.
Autenticación: JWT, OAuth Google, Refresh Tokens.
IA: OpenAI API, LangChain.
Infraestructura: Docker, Kubernetes, GitHub Actions, AWS, Cloudflare.
Analítica: Grafana, Prometheus.
# REQUERIMIENTOS FUNCIONALES
1. AUTENTICACIÓN Y SEGURIDAD
Implementar: Registro de usuarios, Login tradicional, Login con Google, Recuperación de
contraseña, Verificación por correo, CAPTCHA.
Roles y permisos: Super Admin, Admin, Manager, Sales Agent, Viewer.
Seguridad: JWT Access Token, Refresh Tokens, Session expiration, Rate limiting,
Protección CSRF, XSS, SQL Injection.
2. MÓDULO DE CLIENTES
Permitir: Crear, editar, eliminar, buscar y filtrar clientes. Etiquetas dinámicas,
historial de interacciones, notas internas, archivos adjuntos, timeline de actividad.
Cada cliente debe tener: nombre, correo, teléfono, empresa, cargo, estado, ubicación,
fuente del lead, valor estimado.
3. MÓDULO DE LEADS
Implementar: Captura de leads, formularios dinámicos, estado del lead, asignación
automática, Pipeline Kanban, prioridad, seguimiento, conversión lead → cliente.
Estados: Nuevo, Contactado, En negociación, Ganado, Perdido.
4. PIPELINE DE VENTAS
Crear dashboard visual estilo Kanban con: Drag & Drop, actualización en tiempo real,
métricas comerciales, forecast de ventas, seguimiento de oportunidades, valor monetario,
probabilidad de cierre.
5. DASHBOARD ANALÍTICO
Mostrar: Ventas mensuales, conversión de leads, rendimiento comercial, ingresos,
clientes activos, embudo de ventas, KPIs comerciales.
Usar: Recharts, gráficas interactivas, tiempo real.
6. SISTEMA DE TAREAS
Permitir: Crear y asignar tareas, recordatorios, calendario, fechas límite, prioridades,
notificaciones.
7. CHAT INTERNO
Implementar: Chat en tiempo real, mensajes privados, canales de equipo, adjuntar archivos,
notificaciones. Usar: WebSockets, Socket.IO.
8. IA COMERCIAL
Integrar IA usando OpenAI. Funciones: resumir conversaciones, generar correos comerciales,
sugerencias de seguimiento, predicción de cierre, recomendaciones comerciales, asistente
conversacional CRM. Implementar: Chat IA contextual, memoria conversacional, generación
automática de respuestas.
9. PANEL ADMINISTRATIVO
Crear panel admin para: gestión usuarios, gestión permisos, logs, auditoría, configuración
sistema, estadísticas, gestión suscripciones.
# REQUERIMIENTOS NO FUNCIONALES
La plataforma debe ser: Responsive, Mobile First, Escalable, Modular, Mantenible,
Optimizada, Cloud-native, SEO friendly, Alta disponibilidad, Multiusuario, Segura,
Performante.
Implementar: Lazy Loading, Optimización imágenes, Caché Redis, Paginación, Debouncing,
Virtualización tablas.
# FASES DE DESARROLLO
FASE 1 — Configuración Base (Next.js, TypeScript, Tailwind, ESLint, Docker)
FASE 2 — Autenticación (JWT, OAuth Google, Roles, Seguridad)
FASE 3 — CRM Core (Clientes, Leads, Pipeline, Tareas)
FASE 4 — Dashboards (Analítica, KPIs, Gráficas)
FASE 5 — IA (OpenAI, Asistente comercial, Automatizaciones)
FASE 6 — Chat (WebSockets, Tiempo real)
FASE 7 — Seguridad (OWASP, Rate limiting, Sanitización)
FASE 8 — DevOps (Docker, Kubernetes, CI/CD, AWS)
FASE 9 — Testing (Unit, Integration, E2E)
FASE 10 — Optimización Final (Performance, Lighthouse, Memory leaks)
# SEGURIDAD OBLIGATORIA
Aplicar: OWASP Top 10, Helmet.js, CSP, Sanitización inputs, Auditoría, Logs seguros,
Rate limiting, Validación backend/frontend.
Implementar: SAST, DAST, Dependency scanning.
# DESPLIEGUE
Frontend: Vercel. Backend: AWS ECS/EKS. DB: PostgreSQL administrado.
Cache: Redis. CDN: Cloudflare.
# IMPORTANTE
1. Generar TODO el código funcional sin placeholders vacíos.
2. Aplicar tipado TypeScript estricto.
3. Optimizar consultas SQL.
4. Evitar memory leaks.
5. Implementar manejo global de errores.
6. Validar seguridad completa antes de finalizar.
Antes de finalizar: revisar errores, validar tipados, optimizar rendimiento, ejecutar
auditoría de seguridad, revisar dependencias, validar arquitectura, optimizar Lighthouse,
comprobar responsividad.
Este prompt fue el punto de partida del proceso de Vibe Coding CRM dado que Bolt interpretó las directrices y adoptó una estrategia ágil: para acelerar el desarrollo del prototipo funcional y mantener la linealidad del despliegue, adaptó la arquitectura utilizando Bolt Database como backend, reemplazando temporalmente la infraestructura nativa de NestJS/PostgreSQL/Redis para la capa de simulación en vivo, pero preservando intactos todos los requisitos funcionales.
El plan de construcción propuesto por Bolt incluyó los siguientes pasos, ejecutados secuencialmente:
- Diseño y aplicación del esquema de base de datos (tablas, RLS, relaciones)
- Configuración del cliente, tipos e infraestructura de autenticación
- Creación de páginas de autenticación (inicio de sesión, registro, recuperación de contraseña)
- Construcción del diseño principal, barra lateral y navegación
- Módulo de gestión de clientes y leads
- Pipeline de ventas Kanban
- Dashboard analítico con Recharts
- Módulo de chat en tiempo real (WebSockets)
- Asistente de IA (Edge Functions + OpenAI)
- Sistema de notificaciones
- Panel de administración (usuarios, roles, auditoría, configuración)
- Módulo de generación de informes
- Validación y optimización final
Fase 3 — Iteración Visual y Retroalimentación en Tiempo Real
A medida que Bolt AI construía el proyecto de forma iterativa, proporcionaba dos flujos simultáneos de retroalimentación: acceso directo al árbol de archivos del código fuente en TypeScript y una vista previa interactiva en tiempo real, permitiendo validar cada módulo antes de avanzar al siguiente. Esto redujo significativamente el número de regresiones y facilitó la supervisión técnica del proceso.
Fase 4 — Auditoría de Seguridad Automatizada con Vibe Coding CRM
Uno de los aspectos más destacables del flujo de trabajo con Bolt AI fue su capacidad de realizar auditorías internas proactivas sobre los esquemas generados. La plataforma detectó vulnerabilidades específicas, entre ellas:
- Ausencia de políticas de seguridad a nivel de filas (RLS — Row Level Security)
- Rutas de búsqueda de funciones mutables (mutable search paths)
- Políticas RLS configuradas con evaluación siempre verdadera
Para cada vulnerabilidad detectada, Bolt ofreció una opción directa de remediación asistida (“Pídele a Bolt que lo arregle”), integrando así la seguridad dentro del ciclo de desarrollo y no como una capa añadida al final.
Funcionalidades de NexusCRM con Vibe Coding CRM
La plataforma resultante del Vibe Coding CRM —denominada NexusCRM— quedó compuesta por los siguientes módulos interconectados:
Autenticación y Seguridad
El módulo de autenticación implementa registro y login tradicional, autenticación mediante OAuth con Google, recuperación de contraseña con verificación por correo y protección CAPTCHA. El sistema de control de acceso (RBAC) incluye los roles de Super Admin, Admin, Manager, Sales Agent y Viewer. A nivel de sesión, se implementaron JWT Access Tokens, Refresh Tokens, expiración de sesión y mitigación de ataques XSS, CSRF, inyección SQL y Rate Limiting.
Gestión de Clientes y Leads
El módulo central del CRM cubre el ciclo de vida completo del cliente: operaciones CRUD con búsquedas, filtros avanzados y etiquetas dinámicas; trazabilidad a través de historial de interacciones, notas internas, archivos adjuntos y timeline de actividad. La administración de prospectos incluye captura automatizada mediante formularios dinámicos, asignación automática a agentes y progresión de estados (Nuevo → Contactado → En negociación → Ganado / Perdido).
Pipeline de Ventas e Interfaz Kanban
El módulo de pipeline ofrece un tablero visual interactivo con soporte para Drag & Drop y actualizaciones en tiempo real. Incluye cálculo automático de métricas comerciales, forecast de ventas y estimación de probabilidad de cierre de oportunidades.
Dashboard Analítico
El dashboard presenta en tiempo real métricas de ventas mensuales, tasas de conversión de leads, ingresos, clientes activos y comportamiento del embudo de ventas. Los componentes visuales se implementaron con la librería Recharts, generando gráficas interactivas de alto rendimiento.
Colaboración: Tareas y Chat Interno
El módulo de productividad permite crear y asignar tareas con prioridades, fechas límite, recordatorios e integración con calendario. El sistema de chat en tiempo real soporta mensajes privados y canales de equipo mediante WebSockets (Socket.IO), con capacidad para adjuntar archivos.
Asistente de IA Comercial
El módulo de inteligencia artificial integra OpenAI API y LangChain para resumir hilos de conversaciones, redactar correos comerciales personalizados y sugerir acciones de seguimiento. Adicionalmente, implementa análisis contextual con memoria conversacional para estimar la probabilidad de éxito de un trato.
Stack Tecnológico y Arquitectura Vibe Coding CRM
La plataforma fue construida sobre el siguiente stack de producción:
| Capa | Tecnologías |
|---|---|
| Frontend | Next.js 15, React, TypeScript, Tailwind CSS, Shadcn/UI, Zustand, React Query, Framer Motion |
| Backend | NestJS, GraphQL, REST API, WebSockets (Socket.IO) |
| Persistencia y Caché | PostgreSQL, Redis |
| Inteligencia Artificial | OpenAI API, LangChain |
| Infraestructura y DevOps | Docker, Kubernetes, AWS (ECS/EKS), GitHub Actions, Cloudflare (CDN) |
| Monitoreo y Analítica | Grafana, Prometheus |
La arquitectura del proyecto sigue el modelo monorepo con separación clara de responsabilidades:
crm-platform/
├── apps/
│ ├── web/
│ ├── admin/
│ └── api/
├── services/
│ ├── auth-service/
│ ├── crm-service/
│ ├── analytics-service/
│ ├── ai-service/
│ └── notification-service/
├── shared/
│ ├── ui/
│ ├── hooks/
│ ├── utils/
│ └── types/
├── infrastructure/
│ ├── docker/
│ ├── kubernetes/
│ └── terraform/
└── docs/
Consideraciones de Seguridad bajo el Marco OWASP
Un CRM almacena propiedad intelectual e información confidencial de clientes, convirtiéndolo en un objetivo frecuente de ataques. En el marco del paradigma Vibe Coding CRM, la seguridad no debe ser tratada como una capa añadida al final del desarrollo, sino como un componente embebido desde el diseño inicial del sistema.
Mitigación en Capa de Datos
Se utilizaron ORMs con consultas parametrizadas para neutralizar la inyección SQL (OWASP A03:2021). La activación de Row Level Security (RLS) en la base de datos garantiza que un agente comercial acceda únicamente a los registros que pertenecen a su organización o rol, mitigando riesgos de escalación de privilegios (OWASP A01:2021).
Seguridad en Cabeceras y Sesiones
Se implementaron políticas de seguridad de contenido (CSP) robustas mediante Helmet.js para blindar la aplicación frente a ataques de clickjacking e inyección de scripts maliciosos (OWASP A05:2021 – Security Misconfiguration).
Ciclo DevSecOps en Vibe Coding CRM
Se integró en el pipeline de CI/CD el análisis estático de seguridad (SAST), pruebas dinámicas (DAST) y escaneo continuo de dependencias, asegurando que ninguna librería de terceros introduzca vulnerabilidades conocidas en producción (OWASP A06:2021 – Vulnerable and Outdated Components).
Resultados del Vibe Coding CRM
El ejercicio demuestra que el Vibe Coding CRM representa una herramienta poderosa para la construcción de prototipos funcionales de alta complejidad en tiempos reducidos. A través de un proceso de refinamiento de prompts y una iteración guiada con Bolt AI, fue posible construir una plataforma CRM empresarial con módulos de autenticación, gestión de clientes, pipeline de ventas Kanban, dashboard analítico, chat en tiempo real y asistente de IA integrado.
Lecciones del Vibe Coding CRM en Producción
Sin embargo, los resultados también evidencian que el Vibe Coding CRM exige un perfil técnico competente: quien guía la IA debe comprender los principios de arquitectura de software, las implicaciones de seguridad de cada decisión de diseño y los límites de lo que la IA puede garantizar por sí sola. Las vulnerabilidades detectadas por Bolt en la capa de base de datos —como la ausencia de políticas RLS— son un recordatorio de que la supervisión humana sigue siendo indispensable.
En el contexto específico de aplicaciones para el sector de salud y comercialización de insumos médicos, donde la confidencialidad de los datos de clientes institucionales es crítica, la integración de estándares OWASP desde el inicio del proceso no es una opción, sino una obligación ética y técnica.
Video
Créditos:
Autores: Andrés Camilo Corchuelo Poveda, Maria Paula Gómez Vanegas, Sergio Vergara Vega
Editor: Carlos Iván Pinzón Romero
Código: UCHEG1-1
Universidad: Universidad Central
Fuentes:
Brennan, J. (2026). Vibe coding: The new paradigm of AI-assisted software development. Technology Review Press.
Google Cloud. (2025). Generative AI for developers: Workflow transformation. Google LLC. https://cloud.google.com/transform/ai-software-development
Karpathy, A. (2025, febrero 2). Vibe coding [Publicación en X]. X (Twitter). https://x.com/karpathy/status/1886192184808149038
NxCode. (2026). State of vibe coding: Industry adoption report 2026. NxCode Research Labs.
OpenAI. (2025). GPT-4 technical report. OpenAI. https://openai.com/research/gpt-4
Wikipedia. (2025). Vibe coding. Wikimedia Foundation. https://en.wikipedia.org/wiki/Vibe_coding
Xataka. (2026). Qué es el vibe coding y qué ventajas y desventajas ofrece este concepto de programar usando inteligencia artificial. Xataka. https://www.xataka.com/basics/que-vibe-coding-que-ventajas-desventajas-ofrece-este-concepto-programar-usando-inteligencia-artificial
