Checklist de puesta en producción

Configuración

• Producción utiliza la client ID y el client secret de producción.
• Todas las Callback URLs de producción están registradas de forma exacta.
• No se despliega en producción ningún secret de desarrollo o staging.
• Los Client Secrets y Refresh Tokens se almacenan en un Secret Store server-side gestionado.

Seguridad

• Todas las Login Routes y Callback Routes utilizan HTTPS.
• state, nonce y PKCE S256 se generan para cada Authorization Request.
• El callback valida state antes de intercambiar un código.
• Los tokens nunca aparecen en Application Logs, Analytics Events, URLs ni en el Frontend Storage.
• Las cookies son Secure, HttpOnly y utilizan una policy SameSite adecuada.
• El logout invalida la sesión local.

Experiencia

• Tras el login, el contenido protegido devuelve al usuario a la página prevista.
• El contenido público sigue siendo accesible sin autenticación.
• La cancelación del consentimiento y otros errores de OAuth ofrecen un Recovery Path claro.
• Los perfiles no elegibles o incompletos reciben una explicación adecuada.
• Los recorridos se han probado en móvil, tablet y desktop.

Operaciones

• El equipo de soporte sabe cómo reproducir los problemas de login.
• El monitoring distingue los Application Errors de los OAuth Errors.
• Se han documentado un responsable y un proceso para la rotación de credenciales.
• El comportamiento de Analytics y Campaign, si tiene licencia, ha sido aprobado por el Business Owner.