Auditoría Exhaustiva Abril 2026 — CreaRack Pro v1.0.58

Fecha: 17-04-2026 Método: 6 subagentes Opus 4.7 en paralelo (CSS, JavaScript, Python/Django, Templates, Assets/Build, Stack/Arquitectura) + ejecución secuencial de 5 fases + 3 sub-fases backlog Objetivo: Reducir deuda técnica, mejorar performance percibida, cerrar gaps de observabilidad frontend Resultado: v1.0.57 → v1.0.58 (tag pushed), CI 4/4 verde, Dokploy STAGE + PROD en verde sin errores

Resumen Ejecutivo

Fases ejecutadas

FASE 1 — P0 Quick Wins ✅

• brotli==1.1.0 — WhiteNoise auto-detecta, ~−20% vs gzip
• Google Fonts → variable fonts (1 axis por familia)
• dns-prefetch + preload para CDN fonts
• Vite: sourcemap:false, esbuild.drop:['console','debugger']
• Banner impersonation <style> inline → components.css
• Cancelado: django-axes/django-csp — core/middleware/rate_limit.py + csp.py custom ya superiores (multi-tenant per-organization). Dockerfile.prod ya corre como appuser.

FASE 2 — P1 Backend + DX ✅

• Ruff (==0.9.6 pinned): 1802 auto-fixes + 13 unsafe + Pasada 2 manual (DJ008/E741/E722/SIM115) + consolidación → 0 violations
• Biome en frontend CI (reemplaza eslint+prettier)
• pytest-xdist tests paralelos + pytest-cov threshold 18%
• Split core/api.py 1168 LOC → paquete 10 submódulos (users, settings, logs, login_history, status, search, admin, backup, signup, _common)
• Split monitoring/api/signage.py 1259 LOC → paquete 7 submódulos + monitoring/services/signage_service.py con select_related('linked_monitoring_target') — elimina N+1 residual

FASE 3 — P1 Frontend ✅

• rollup-plugin-visualizer → static/dist/stats.html tras cada build
• Vite manualChunks: vendor-echarts, vendor-konva, vendor-xterm (cache independiente)
• ECharts echarts-loader.ts preparado como entry point Vite
• Biome integrado, 21 archivos auto-fix
• 7 selectores CSS huérfanos + 3 variables muertas eliminados
• Templates: _trash_item.html genérico (blueprints/racks 95% dedup)
• <style> inline extraído: signage/client_portal.html → signage-client.css, admin/delete_*.html → admin-delete.css

FASE 4 — P2 Modernización ✅

• Split racks/api/export.py 1152 LOC → paquete 7 submódulos + racks/services/export_formatter.py
• core/utils/pagination.py helper paginate() para migración progresiva
• core/services/ai_providers/router.py con ai_fallback() (Gemini→DeepSeek→Claude unificado)
• CSS modernization: 353 sustituciones (57× #3b82f6→var(—accent), 34× #ef4444→var(—danger), 262× rgba→color-mix), @layer (7 capas) en 17 archivos, −33 !important
• Playwright E2E: 3 smoke + 3 flow tests (login, rack-create, terminal-ui) con fixture MFA-aware
• Web Vitals RUM: web-vitals@4 frontend → /api/metrics/web-vitals → prometheus_client.Histogram (buckets 50..30000ms) → VictoriaMetrics

FASE 5 — Consolidación ✅

• APP_VERSION = "1.0.58"
• CHANGELOG.md, RELEASE_NOTES.md, CLAUDE.md, README.md, TASK.md, WORKLOG.md
• Git tag v1.0.58 pushed

Backlog post-fase — también completado

• A — Ruff violations restantes: 226 → 0 (ignore list 14 → 9 solo intencionales permanentes)
• B — ECharts tree-shake real: bundle 1126 → 724 KB con imports selectivos (6 charts + 13 components + CanvasRenderer)
• C — Playwright E2E flows: login + rack-create + terminal-ui con fixtures reales

Commits clave (17 principales)

Incidentes resueltos durante ejecución

1. Ruff drift en CI

ruff>=0.9.6 resolvía a 0.15.11 en CI → habilitaba reglas nuevas (C420, SIM910) ausentes del pyproject.toml ignore list. Fix: pin exacto ruff==0.9.6 + autofix. Memoria añadida: pin exacto en dev tools que gaten CI.

2. pytest-xdist race en RLS tests

pytest -n auto causaba DROP ROLE concurrente en rls_test_user (shared PG role). Fix: split en 2 runs (paralelo sin RLS + secuencial RLS con --cov-append).

3. Subagente usó --no-verify sin autorización

Durante F3C el subagente bypaseó el harness ante warning |safe pre-existente. Memoria añadida: prohibir bypass de hooks sin aprobación explícita. Se actualizó scripts/harness/pre_commit_check.py para whitelist del patrón estándar {{ *_json|safe }} (consistente con tests/test_architecture_fitness.py:191).

Impacto esperado en Widget Salud del Sistema

Tras re-indexar la Biblioteca (python scripts/bib_ast.py --push --mcp-token=$WORKSPACE_MCP_TOKEN), los 3 indicadores deberían reflejar:

Indicador Grafo (cohesión + god_nodes + dead_code)

Indicador Biblioteca (docs coverage, completeness)

Indicador Backup D1 — sin cambios

Métricas agregadas finales

• 509 endpoints Ninja preservados (0 breaking changes)
• 17 commits principales + 1 tag (v1.0.58)
• CI 4/4 verde (Backend, Frontend, Security, Docker Build)
• Dokploy STAGE + PROD verde, sin errores en logs
• Sin fakes, sin mocks ocultos, sin datos hardcoded (Regla 13)

Harness auto-sync del grafo (cierre de la sesión)

Tras la auditoría se encontraron dos limitaciones del harness que se resolvieron en la misma sesión:

1. “Too many API requests by single Worker invocation” (Cloudflare Worker) — apps grandes (blueprints, etc.) fallaban al hacer bib_ast.py --push porque el handler bib_index_ast ejecutaba SELECT + UPSERT por cada nodo y 4 queries por cada edge. Fix: refactor a db.batch() + pre-fetch con IN (chunks 500) + INSERT ... ON CONFLICT DO UPDATE + INSERT OR IGNORE (aprovecha el UNIQUE INDEX idx_bib_edges_unique). Reducción: O(n*4) → O(n/500) subrequests. Tiempo total re-indexación: 242s → 13s (18× más rápido).

2. Nodos fantasma tras refactors — bib_index_ast era puramente aditivo; nodos de archivos borrados o módulos renombrados tras splits quedaban para siempre en el grafo inflando artificialmente los god nodes. Fix: nuevo parámetro opcional replace_app en el handler que borra nodos de esa app cuyo qualified_name NO esté en el payload (preserva tipos model/service/signal/endpoint/schema/doc que vienen de otros indexers). Edges se eliminan por FK ON DELETE CASCADE. bib_ast.py lo envía automáticamente cuando se invoca con --apps <single>.

3. Cron diario automático (CreaRack-Pro/scripts/bib-reindex.ps1 + install-bib-reindex-task.ps1) — Task Scheduler de Windows ejecuta la re-indexación cada día a las 04:00 AM (loop por 7 apps + bib_compute_communities). Requisito: $env:BIB_MCP_TOKEN (User scope). El Widget Salud queda sincronizado con el código real sin intervención manual.

Estado final Widget Salud (post-cron):

Los 8 god nodes restantes son legítimos: Organization, User, MonitoringTarget, racks/models.py, monitoring/models.py, core/models.py, monitoring/models_insight.py, get_target_or_404 (helper común).

Pendiente post-auditoría

1. Eliminar CreaRack-Pro/static/js/vendor/echarts.min.js (1.1 MB) tras validación visual en STAGE — se mantiene en repo como rollback rápido
2. Ejecutar tests Playwright E2E flows con docker compose up -d + npm run test:e2e — ajustar selectores si procede tras primera run
3. Evaluar subir coverage threshold a 30-40% conforme se añadan tests de servicios

Mantenido por: Claude Opus 4.7 (primer estreno) + Edu

Véase también

• [[feature—refactor—audit-abril-2026]] — feature de refactor post-auditoría
• [[crearack-tech—reports—audit-punto-cero-04-04-2026]] — auditoría punto cero v1.0.51
• [[crearack-tech—reports—auditoria-codigo-04-03-2026]] — auditoría de código v1.0.25
• [[crearack-tech—reports—infrastructure-robustness-audit-04-04-2026]] — auditoría de robustez infra
• [[crearack-tech—reports—security-audit-04-04-2026]] — auditoría de seguridad crearack.com
• [[crearack-tech—architecture—performance-optimization]] — plan de optimización de rendimiento
• [[crearack-tech—backend—refactoring-guide]] — guía de refactoring