Notas

Para tapar los nombres antes de mandarlos a un modelo hay dos técnicas, y la barata es la más segura. Cuándo hace falta una tabla de equivalencias, cuándo bastan dos constantes, y por qué el guion del propio dueño también pasa por el filtro.

Ocho segundos tiene el webhook de Meta; hasta sesenta tarda un modelo. Esa cifra decide dónde corre un agente de WhatsApp. Dónde lo paramos, cuánto le dejamos gastar al día, y las tres veces en que redactar sería peor que no hacer nada.

La lista de tareas de tu CRM no se usa porque compite con la app de tareas que tu equipo ya tiene, y pierde. Qué forma tiene que tener para ganar: pegada a la conversación, una sola viva, y una agenda que herede los permisos de las bandejas.

«Esto le va a llegar a 340 personas.» Si ese número y el envío salen de dos consultas distintas, un día dejan de coincidir, y no se nota hasta después de haber mandado. Además: por qué «frío» tiene que incluir a quien nunca escribió.

Una clínica no cotiza: agenda. Obligarla a llamar «cotizado» a una demo no es un problema estético: vacía el tablero. Por qué cinco etapas y no doce, cuál no se puede borrar, y qué se enseña cuando alguien borra una etapa con fichas dentro.

Pides «lo de esta semana» y la lista te esconde el hilo de hace un año en el que el cliente escribió ayer. Cinco decisiones de un filtro de fechas: qué fecha, qué tramos, un solo parámetro, el 30 de febrero y a qué hora se acaba «hoy».

Meta manda el número de quien te escribe como dígitos pegados y sin signo de más. Convertirlo en algo legible tiene cuatro trampas: el +1 que se come al +1809, la tabla que no se debe copiar entera, agrupar desde la derecha y saber cuándo eso no es un teléfono.

Dejar que el equipo también conceda permisos se escribe en una tarde y se paga durante años: dos sitios donde mirar, y dos que pueden contradecirse. Qué contesta el rol, qué contesta el equipo, y el filtro que no es una cortesía.

Tres vendedores entran a la consola y les dice que no ha entrado ninguna conversación, mientras entran cien mensajes al día. No hubo ningún error: esa es justo la razón por la que duró una semana. El fallo, la regla que lo provoca y por qué la regla se queda.

Con tres personas atendiendo, dos contestan el mismo chat y el que entró a las once de la noche no lo ve nadie. Dónde se engancha el reparto —y las dos formas de engancharlo mal—, cómo se lleva la vuelta por turno y qué serializa dos mensajes simultáneos.

El formulario de «olvidé mi contraseña» es una lista de clientes si responde distinto según exista la cuenta, o si tarda distinto. La misma respuesta y el mismo tiempo, enlaces que se matan entre sí, dos caminos con un mecanismo, y el correo feo a propósito.

La CCCE cerró 2025 con 145,4 billones de pesos en ventas en línea (+11,1 %), 684,6 millones de compras (+19,9 %) y un ticket de 212.373 pesos (−7,3 %). Compran más veces y gastan menos cada vez: lo que eso cambia para una tienda pequeña, y lo que la cifra no dice.

Meta no publica tarifas por país; el precio sale de una subasta. Tres proveedores publican tres cifras distintas para Colombia, sin decir qué cuentas midieron. Por qué no van a coincidir nunca, y cuál es la única cifra que sí describe tu negocio.

La frase aparece en toda presentación de software de mensajería, con cuatro números distintos y ninguna fuente independiente. Vendemos software de mensajería y fuimos a buscar quién la midió. Lo que encontramos, y cómo medirlo en tu negocio.

Microsoft dice que el 66 % de las mipymes colombianas usan inteligencia artificial; otra cifra que circula dice 2,4 %. Entre las dos hay un factor de veintisiete, y las dos pueden ser ciertas. Qué mide cada una, quién la paga, y cuál es la fuente que falta leer.

Meta fija el cupo diario de contactos nuevos por portafolio de negocio, y todos los números lo comparten. Los cinco niveles, las tres rutas de 250 a 2.000, lo que baja el límite, y por qué una campaña fallida gasta el cupo del día igual que una que llega.

WhatsApp llega en entry[].changes[]; Messenger e Instagram, en entry[].messaging[]. El eco que abre una ventana falsa, los acuses que se aplican por id y nunca por hora, y los avisos que llegan desordenados. Lo que hay que saber antes de decir que el webhook «funciona».

La misma foto llega por dos protocolos distintos. La URL firmada que vive minutos, el 403 que no era de permisos sino de una cabecera, el pie de foto que tumba un audio, el MIME que miente en las notas de voz, y dónde se guardan los archivos de los clientes.

El segundo número rompe cinco cosas: la restricción de la base, el hilo que se elegía por tipo, el catálogo de plantillas mezclado (132001), el filtro por canal y la visibilidad del equipo. Cómo quedó cada una.

Un token de usuario supera la comprobación inicial y falla al mandar el primer mensaje, días después. Tres identificadores que parecen iguales, la conexión fantasma, y cómo se guarda un token que escribe en nombre del negocio: GCM, clave fuera de la base, formato versionado.

Marcar un favorito hacía parpadear toda la bandeja: la acción terminaba en redirect() hacia la misma URL, y eso desmonta y vuelve a montar el árbol de React. La alternativa, la trampa de useOptimistic con un refresco lento, y los 35 enlaces que recargaban el documento.

La segunda visita pasó de 9 segundos a 47 milisegundos. Pero la regla más importante es qué no se cachea nunca: la lista negra que pudo servir la página de un negocio a otro, la lista blanca que la sustituyó, la identidad del build y el interruptor de emergencia.

«Elegí una plantilla» es una orden en Buenos Aires y un hecho consumado en Medellín. El cambio de voseo a tuteo en 30 archivos, y el reemplazo que convirtió «activos» en «actitu» porque \b en JavaScript no cuenta las vocales con tilde como letras.

Tres documentos oficiales, leídos enteros: Google dice que no hay optimizaciones especiales, Bing solo cita lo que indexa y desde febrero de 2026 lo mide, OpenAI advierte que sus citas pueden estar mal. Y llms.txt: qué es y qué nadie ha prometido.

El nombre de un contacto lo escribe un desconocido desde su WhatsApp. Si empieza por «=», Excel lo ejecuta como fórmula al abrir la exportación. Qué es la inyección CSV (CWE-1236), cómo se escapa, y por qué fue la primera prueba automática del repositorio.

El servidor renderizaba la página en 12 a 25 milisegundos; el resto, hasta 1,4 segundos, era el viaje. Una palabra en nginx, dos fuentes adelantadas con el atributo que casi nadie pone, y dos trampas de configuración que costaron una tarde.

El telón aparecía después de lo que debía tapar, porque esperaba a la hoja de estilos que venía a ocultar. El orden del head, esperar una señal y no un reloj, el rectángulo que cubría el sitio sin JavaScript, y la segunda visita de 9 segundos a 47 milisegundos.

Un sitio bilingüe que elegía idioma con navigator.language le mostró a Google, durante meses, el título en castellano y el cuerpo en inglés. Por qué pasa, por qué nadie lo ve, y por qué el idioma por defecto es una decisión de negocio y no del navegador.

Sin metadataBase, Next emite canónicas relativas y el hreflang de todo el sitio queda invalidado sin aviso. Y bloquear en robots.txt no desindexa nada: impide que Google lea el noindex. Dos fallos silenciosos, dos líneas, y cómo comprobarlos.

Un bloque de datos estructurados roto no cambia nada visible ni falla el build: solo hace que un motor deje de entender el sitio, en silencio. Las siete pruebas que lo vigilan, los campos que dejamos vacíos a propósito, y lo que el schema hace y no hace.

Una migración sembró la visibilidad de bandejas para todos los negocios que existían ese día, y ninguno de los que llegaron después. Tres vendedores ciegos con cien mensajes al día, un JOIN que casi deja a todos sin bandeja, y la corrección en cuatro puntos.

Una cabecera escrita dos veces tenía once temas en un lado y cuatro en el otro. La lista blanca de nginx que daba 404 a cada ruta nueva, el service worker que pudo filtrar datos entre inquilinos, y el comentario que mentía. La regla que sale de todo eso.

Sin Redis ni broker: SKIP LOCKED con la reserva en la misma sentencia, la condición de negocio dentro del UPDATE, un contador con bloqueo de fila y interruptores con valor explícito. Cuatro casos reales de un CRM de WhatsApp.

La etiqueta en español de Kurt Gödel estaba vandalizada y un importador que prefiera el español la habría copiado. Cómo votan los idiomas, los cinco QIDs de memoria que resultaron ser Jane Austen, un faraón y un pueblo alemán, y cómo se trata a un servicio gratuito.

Identificar una conversación por el teléfono se rompe el día que entra Instagram. Persona y canal en dos tablas, la unión manual porque Meta no da ningún identificador compartido, lo que trae cada canal del remitente, y qué borra cada acción.

Un reinicio directo dejó 1,6 segundos sin servicio y 16 peticiones de 150 fallidas. Con dos ranuras y un proxy que conmuta, 455 peticiones durante un despliegue y ninguna falló. Cómo funciona en un VPS con bash, y el chequeo de salud del que depende todo.

Cada despliegue reemplaza el proceso, y con él mueren todos los setTimeout que tenía en memoria. La noche en que una campaña de 300 contactos esperó hasta la mañana, y las dos alternativas: avanzar al leer, o un timer fuera del proceso con cerrojo en Postgres.

Lo que la base no permite, no lo permite ningún camino, incluido el que todavía no existe. Un UNIQUE mal puesto que mezcló conversaciones, el dueño que no se borra, permisos por columna que blindan el pasado, y la restricción que destapó un dato inventado.

Del sondeo cada 8 segundos al aviso desde un trigger de Postgres empujado por Server-Sent Events. Por qué SSE y no WebSocket, por qué el canal no lleva contenido, y las cuatro directivas de nginx sin las que la ruta responde 200 y nunca entrega nada.

Un disparador trataba «cerrada» como estado terminal. Con un solo hilo por persona, el cliente que volvía a escribir caía en ese hilo cerrado y dejaba de existir para el negocio. El fallo, la corrección que distingue quién reabre, y las preguntas que hay que hacerle a un CRM.

Una ley anterior a WhatsApp ya dice que la oferta y la aceptación pueden ir en un mensaje de datos. Lo que exige a cambio es poder demostrar quién lo dijo, que no se tocó y que se guardó bien. Los artículos, literales, y lo que un CRM guarda para responder.

Sociedades y entidades sin ánimo de lucro con activos totales por encima de 100.000 UVT, que en 2026 son 5.237 millones de pesos. Los establecimientos y sucursales no registran. Y el inventario de bases que conviene tener aunque no estés obligado.

La Ley 1581, la Ley 2300 y Meta piden lo mismo con palabras distintas: poder decir quién dijo sí, cuándo y por dónde. Una casilla marcada no lo dice. Lo que guardamos, quién lo sella, y por qué el asistente de IA lo sabe antes de proponer una campaña.

Mirar una ficha alcanza a una persona y deja rastro; un CSV se lleva la base entera y se copia sin dejar rastro. Por qué exportar tiene su propio permiso, qué columnas lleva el archivo y cómo el asistente de IA podía ser una puerta de atrás.

Tomar una conversación y pasársela a un compañero es el gesto de veinte veces al día en una tienda de tres vendedores. Estaba detrás del mismo permiso que borrar el historial de un cliente. Cómo se partió en tres sin que ningún rol ganara ni perdiera nada el día del despliegue.

Un cliente puede escribir en WhatsApp una instrucción dirigida al asistente de IA que lee la conversación. La solución no está en el prompt: está en que el modelo no pueda escribir nada, y en que lo que se ejecuta salga de una fila congelada en la base, no del modelo.

Mandarle los nombres al modelo acierta y expone; mandarle datos borrosos protege y falla. Nosotros le mandamos referencias («C-7») y resolvemos la búsqueda en la base antes de que la pregunta salga. Incluido el punto donde este diseño se rompe si no se mira.

Cada herramienta del asistente exige el mismo permiso que la pantalla equivalente del CRM. Lo que la persona no puede ver, el asistente no lo ofrece. Listar no es exportar, campañas ni se proponen, y la red única se dice con honestidad.

Los modelos gratuitos están excluidos de la promesa de retención cero justamente porque el precio es ese. Los bloqueamos en el código, medimos el presupuesto en plata y no en preguntas, y cobramos lo desconocido como lo más caro. Con la tabla de precios por millón de tokens.

Un barrido pensado en inglés borra «1.500.000» creyendo que es un teléfono. Las ocho reglas que usamos, en su orden, con el NIT, el algoritmo de Luhn, las siete cifras que son teléfono, y tres trampas de JavaScript con texto en español.

Los 131047, 132001, 190 y compañía, con la única pregunta que importa en una bandeja: ¿es de este mensaje, de este contacto o de toda la conexión? Y la regla que casi nadie aplica: el subcódigo manda sobre el código.

Meta reintenta durante horas lo que no recibe un 200 y termina desactivando el webhook. De ahí salen seis reglas: firmar sobre los bytes, deduplicar en la base, no llamar a Meta desde dentro, y resolver la bandeja por número.

Al crearla solo mira la categoría; al revisarla, cuando decida; al enviarla, en el acto; y después de aprobada, por su cuenta. El nombre, los huecos, los 1.024 caracteres, el idioma que se cambia solo y el catálogo que es de la cuenta y no del negocio.

Una campaña con plantilla aprobada que la pantalla dio por salida y que no llegó a nadie. Lo que pasó entre la cola y el despacho, por qué solo fallaba con audiencia fría, y las cuatro preguntas que hay que hacerle a un CRM antes de la primera campaña.

En WhatsApp, que Meta rechace un mensaje fuera de ventana no tiene consecuencias. En Messenger e Instagram cuenta como infracción aunque el mensaje no salga. Las cuatro etiquetas con sus plazos, y por qué preguntamos tres veces si algo puede salir.

Los mensajes de servicio, gratis desde noviembre de 2024, y las plantillas de utilidad dentro de la ventana de 24 horas, gratis desde julio de 2025, pasan a cobrarse por mensaje. Quedan 1.000 de servicio gratis al mes por número. Lo que Meta anunció y qué significa en Colombia.

Si el negocio responde en 24 horas a quien llega desde un anuncio de clic a WhatsApp, Meta abre 72 horas sin cargo de entrega. Qué cubre, qué no, cuánto vale de verdad en Colombia y por qué vale más desde octubre de 2026.

Se conoce como la ley de cobranza, pero su artículo 5 la extiende a la publicidad por mensajería. El texto, no el resumen: lunes a viernes de 7 a 7, sábados de 8 a 3, nada en domingos ni festivos, y lo que un CRM puede cumplir solo.

Ocho páginas de la Superintendencia sobre datos personales e inteligencia artificial: cuatro criterios, estudio de impacto, seguridad auditable. Las diez instrucciones resumidas, las tres que más pesan, y cómo las convertimos en decisiones de código.

Colombia es el mercado más barato del tarifario de Meta: 2,9455 pesos por mensaje de utilidad. Tres cosas que no salen ahí hacen que la factura no sea esa.

Plazo, documentos y motivos de rechazo están publicados. Lo que no: ni una mención a Colombia en dieciséis páginas. Qué se puede hacer sin verificar.

Quince agencias de Medellín, cinco con el precio publicado. Lo que cobran, con su URL y su fecha, y el coste que sigue corriendo cuando el sitio ya está hecho.

Meta declara un techo de 24 horas y nadie publica una distribución. Los dos relojes que se confunden, cuántas vueltas cuesta un rechazo, y el protocolo para medirlo.

El registro sí es público y sí es gratis. Lo cruzamos: 3.563 matrículas activas bajo CIIU 6201 y 7310 en la Cámara de Medellín, y ninguna casilla que diga IA.

Un simulador que sube las palomitas por reloj y un despachador real se pelean por la misma fila. Ninguno sabe del otro, y gane quien gane, el estado que se pinta no significa nada.

No hay censo de sitios ni dato de campo por ciudad. Aquí va el protocolo reproducible, la muestra semilla verificada y lo que se rompió antes de medir.

Instalamos Chatwoot en el mismo servidor donde corre nuestra consola y lo dejamos correr. El modo enterprise autohospedado se revirtió solo, al minuto exacto que predice una fórmula pública.

Su API responde 401 con una sola pista dentro: la IP que te vio. No dice si tu llave está mal. Qué gatillo falló, y cómo se pide el acceso.

Nadie ha publicado la curva por hora en Colombia. Tenemos las bandejas delante y todavía no podemos publicarla: esto es por qué.

No existe el censo, y las cifras que circulan miden el directorio y no el mercado. Lo que sí está medido, lo que se puede estimar, y con cuánto error.

La regla de las 24 horas no es una sola: son tres mecanismos distintos, uno por canal, con caducidades distintas. Y en Instagram, pasados siete días, no hay ninguna.

Dieciséis peticiones a la API de Meta para comprobar algo que no está escrito en su documentación: en WhatsApp, quien te escribe no es un nodo al que se le pueda pedir nada.