Cómo garantizamos casos de éxito legítimos sin equipo de moderación

Show me the REX es un portal de retornos de experiencia en Tech, datos e IA. Nuestro valor se reduce a una cosa: la confianza en lo que se publica. Un solo caso falso, un spam o un contenido ilegítimo, y la credibilidad de todo el corpus se tambalea.

Dos preguntas, en realidad — y la segunda casi nunca se plantea: cómo garantizar la legitimidad de cada caso, a escala, sin montar un equipo de moderación; y cómo publicar sin exponer jamás a quien da su testimonio ni al cliente del que habla.

El reto: dos callejones sin salida

La moderación manual no escala: es costosa, subjetiva y añade un retraso entre el deseo de publicar y la puesta en línea. Delegar el filtrado en una IA no resuelve el fondo: un modelo juzga la forma de un texto, no la legitimidad de quien lo publica — no dice si la empresa existe de verdad.

Nuestro enfoque: cuatro barreras antes de publicar

Sustituimos la moderación de contenido por la verificación del emisor, con cuatro salvaguardas:

• Sin empresa, no hay caso — es la barrera más dura, y la primera. Un simple visitante no puede publicar nada: crear un caso exige estar vinculado a una empresa, y la publicación lo vuelve a comprobar en el servidor, cada vez. Una cuenta desechable abierta en treinta segundos con un correo temporal no tiene literalmente ningún camino hacia la publicación — ni siquiera llega al formulario. Y un caso pertenece a su empresa: nadie publica el de otra.
• Sustancia mínima — se exigen un título y un cuerpo reales (nada de cáscaras vacías).
• Identidad verificada — el número de IVA intracomunitario de la empresa se valida en VIES, el registro oficial de la UE. Una empresa real que publica bajo su identidad no arruina su reputación con un caso falso.
• Trazabilidad total — cada caso está vinculado a un autor y una empresa; cada acción sensible queda registrada en un histórico de auditoría.

Proteger al cliente, y al cliente del cliente

Un caso describe un proyecto real: nombra a una empresa, a menudo al cliente de esa empresa, y a veces cifras que nadie publica a la ligera. Verificar al emisor no basta: publicar no le debe costar nada a nadie.

• Casos privados por invitación — el autor puede exponer públicamente solo un teaser: el contenido lo leen únicamente él, las direcciones de correo que ha invitado (una vez conectadas) y un administrador para dar soporte. En todo lo demás — listados, búsqueda, página pública — queda reducido al teaser y a un candado. Un cliente que no puede contarlo todo en abierto puede aun así dar su testimonio.
• Despublicación inmediata — un clic y el caso sale del sitio, destacado incluido. El cliente conserva el control de su palabra, sin pasar por nosotros ni esperar a nadie.
• Lectores nunca nominativos — un cliente ve qué empresas han consultado sus casos, nunca qué persona. Nuestros propios administradores y las consultas internas de la empresa quedan fuera del recuento.
• Rastros mínimos — la IP y el user-agent nunca se guardan en claro, solo como huella SHA-256, lo justo para distinguir dos visitantes. Un visitante anónimo ni siquiera abre una sesión de servidor.
• Contenido saneado al escribir — el HTML que sale del editor se limpia al guardar y de nuevo al mostrarlo: el caso de un cliente no puede convertirse en el vector de ataque contra otro.

La trampa que no vimos venir

Al conectar VIES, un número de IVA válido — de una empresa muy real — apareció como «no válido». Nuestra salvaguarda acusaba a un cliente honesto.

La causa: cuando el servicio del país está saturado, VIES responde HTTP 200 con isValid: false y un código de error (MS_MAX_CONCURRENT_REQ). Nuestro código leía el booleano y concluía «no válido», cuando VIES en realidad decía «no he podido verificar». La corrección: confiar solo en un veredicto explícito (VALID / INVALID), reintentar una vez ante un error transitorio y tratar todo lo demás como «desconocido» — sin bloquear jamás a un usuario por una caída que no es suya.

La misma trampa, por segunda vez

Meses después, auditando nuestra propia promesa, escribimos 0 en el campo del IVA. El caso se publicó.

Nuestra regla bloqueaba un número ausente o explícitamente no válido, y dejaba pasar todo lo demás bajo la etiqueta «desconocido». Pero «desconocido» cubría dos situaciones que nada distinguía: «VIES no ha podido verificar ahora» — temporal, hay que ser tolerante — y «VIES nunca podrá verificar esta cadena» — definitivo, hay que rechazar. BANANA, un número francés escrito sin su prefijo FR, un prefijo fuera de la UE: valores condenados a seguir siendo «desconocidos» de por vida y, por tanto, a franquear la barrera de por vida.

La corrección: el número debe tener primero la forma de un número intracomunitario para que se aplique la tolerancia. La lección: un estado de error suele esconder dos, y es el que no nombraste el que deja la puerta abierta.

Lo que este enfoque no garantiza

Una barrera descrita sin sus puntos ciegos deja de ser una barrera y se convierte en argumento comercial. Los nuestros:

• Un administrador publica sin el control: la garantía cubre la publicación autónoma del cliente, no al equipo.
• El país es autodeclarado: declararse fuera de la UE elimina la exigencia de IVA. Es el precio asumido de no excluir a las empresas no europeas.
• Ante una caída de VIES, un número bien formado pero sin verificar pasa. Preferimos ese riesgo a bloquear a un cliente por una avería que no es suya.

Ninguno de estos huecos es un olvido: cada uno es un equilibrio entre fricción y estanqueidad, escrito para poder discutirse.

La legitimidad vale también para las cifras

Verificar quién publica no sirve de nada si los contadores están inflados. Nuestras propias empresas publican y siguen visibles como cualquier otra, pero quedan fuera de todas las métricas comerciales y de marketing — ingresos, embudo de conversión, cuentas a reactivar, inteligencia de audiencia. Solo cuentan donde es legítimo: las visitas y las visualizaciones, que son reales.

La comprobación es una sola maniobra: recalcular cada indicador dos veces, con y sin la exclusión. Una cifra que no se mueve es una cifra que olvidó la regla.

Defensa en profundidad

La legitimidad se apoya en una base de seguridad: tráfico tras un WAF, origen blindado, histórico de auditoría de las acciones sensibles, alertas por correo en tiempo real, 2FA para administradores, copias de seguridad cifradas. El principio: asumir que ninguna barrera es infalible, así que registrarlo y alertarlo todo.

• Cero moderadores: sin cola de moderación, publicación autónoma.
• Ningún camino anónimo: una cuenta sin empresa no puede crear ni publicar un caso.
• Testimoniar sin contarlo todo: casos privados por invitación, reducidos a un teaser en el resto del sitio.
• Lectores no nominativos: audiencia agregada por empresa, IP y user-agent cifrados con hash.
• Identidad verificada para cada empresa que publica (registro VIES).
• 100 % trazable: autor, empresa y acciones sensibles registrados.
• Cifras sin inflar: nuestras propias empresas quedan fuera de todas las métricas comerciales.
• Límites por escrito: los tres puntos ciegos de la barrera están documentados, no ocultos.
• Probado con tests: cada garantía se respalda con una prueba automatizada y reproducible.