marcopayan.dev
Tema

Desarrollador Full Stack DevSecOps y seguridad de aplicaciones

MarcoPayan

Construyo sistemas donde los datos tienen que cuadrar: facturación electrónica en una de las cadenas comerciales más grandes de México, plataformas de operación en campo para financieras y mi propio SaaS multi-tenant. Hoy me enfoco en DevSecOps: autorización que aplica la propia base de datos, despliegues endurecidos y seguridad integrada al pipeline.

Ubicación
Culiacán, México
Zona horaria
UTC−7 · coincide con Mountain y Pacific de EE. UU.
Estado
Disponible para trabajo remoto
Ver proyectosDescargar CV

Proyectos

Lo que he construido, publicado y asegurado.

CASE-001En vivo2026

Recepcion.net

SaaS multi-tenant de reservas: cada negocio tiene su propio sitio.

Una “recepcionista digital” para barberías, salones y consultorios. Cada negocio recibe un sitio white label en nombre.recepcion.net con reservas en línea, promociones y un CRM de clientes, y cada cliente usa una sola cuenta en todos los negocios de la plataforma. Diseñé el producto, el modelo de datos y la infraestructura, y lo construí de punta a punta.

  • Multi-tenancy por subdominio con inicio de sesión único entre el panel del negocio, el hub de reservas y el sitio de cada negocio.
  • Es imposible empalmar citas: la disponibilidad se verifica dentro de una transacción serializable, así que dos clientes nunca pueden tomar el mismo horario.
  • Monolito modular sin estado (7 módulos de dominio) que escala horizontalmente detrás de un reverse proxy.
  • CI/CD: GitHub Actions construye las imágenes en GHCR y producción solo hace pull y reinicia. Monitoreo con Sentry y Uptime Kuma.

Seguridad aplicada

  • Doble candado sobre los datos de cada negocio: cada consulta se filtra por tenant en el código y Row Level Security de Postgres rechaza lecturas cruzadas. El rol de base de datos de la API no puede saltarse RLS.
  • JWT en cookies httpOnly, bcrypt, claves de idempotencia en las reservas y rate limiting en Redis por IP y por negocio.
  • Ningún contenedor publica puertos en el host: el tráfico solo entra por Cloudflare (WAF, certificados de origen) y Nginx Proxy Manager en una red Docker interna.
  • Cloudflare Zero Trust Access en las superficies de administración; SPF, DKIM y DMARC en el dominio de correo.
Ruta de la petición
  1. Navegador
  2. Cloudflare WAF
  3. Nginx Proxy Manager
  4. Next.js apps
  5. Express API
  6. Postgres + RLS · Redis
Rol
Individual — producto, desarrollo e infraestructura
Stack
  • TypeScript
  • Node.js
  • Express
  • Prisma
  • PostgreSQL
  • Redis
  • Next.js
  • Tailwind
  • Docker
  • GitHub Actions
  • Cloudflare

Sitio en vivo (Recepcion.net, se abre en otra pestaña)Demo en vivo (Recepcion.net, se abre en otra pestaña)

CASE-002En producción2026

Ruteo y Cortes

Recolección de efectivo en ruta para máquinas de juego, pensada para funcionar sin señal.

El personal de campo recorre las tiendas de su ruta, lee los contadores de cada máquina, cuenta el efectivo y fotografía la evidencia, aunque no haya señal. La oficina sigue cada ruta en vivo, concilia el efectivo contra lo que produjo cada máquina y liquida las comisiones de cada tienda. Un solo código en React se distribuye como app Android para campo y como panel web para la oficina.

  • Offline-first: cada corte se guarda en IndexedDB y lo sincroniza una cola con reintentos. El id se genera en el dispositivo, así que reintentar nunca duplica dinero.
  • Toda la aritmética del dinero vive en Postgres como columnas generadas, en centavos enteros. La vista previa en pantalla se compara contra ella con 500 casos de prueba generados.
  • Máquinas con etiqueta QR, geocercas por GPS, entrega de comisiones con firma y seguimiento de rutas en vivo.
  • Reportes declarativos con exportación a Excel y PDF.

Seguridad aplicada

  • La autorización vive en Row Level Security, no en la interfaz: el personal de campo solo lee sus propias rutas y solo puede registrar cortes mientras su ruta está en curso. 54 pruebas de API ejercitan RLS con sesiones reales.
  • Los cortes son inmutables: los triggers solo permiten pasar de válido a cancelado con un motivo, y bloquean el borrado.
  • Bitácora de auditoría escrita por triggers de la base de datos; almacenamiento privado de evidencias separado por usuario.
  • Registro público desactivado. Las cuentas las da de alta un administrador mediante funciones SECURITY DEFINER.
Ruta de la petición
  1. App Android
  2. Cola sin conexión
  3. Supabase Auth
  4. Postgres + RLS
  5. Panel web en tiempo real
Rol
Individual — full stack
Stack
  • React
  • TypeScript
  • Vite
  • TanStack Query
  • Dexie (IndexedDB)
  • Capacitor
  • Supabase
  • PostgreSQL
  • Mapbox
  • Cloudflare Pages

Demo en vivo (Ruteo y Cortes, se abre en otra pestaña)

CASE-003En desarrollo2026

Zero Trust City

Un juego cyberpunk que enseña DevSecOps con código real.

Juego educativo en desarrollo para Steam. El jugador corrige Terraform, Dockerfiles, pipelines de CI y manifiestos de Kubernetes reales mientras una ciudad en pixel art reacciona: cierra un bucket público y los drones dejan de entrar. Ocho distritos llevan al jugador desde lo básico de Linux hasta la seguridad de la cadena de suministro y zero trust.

  • 74 misiones y jefes en 8 rangos; 37 ya escritas y jugables.
  • Cada misión sigue Aprende → Practica → Misión → Repaso, con repetición espaciada y un códex con buscador.
  • Contenido como datos: una misión es un objeto TypeScript que el motor descubre solo, y una prueba automática juega su solución de principio a fin.
  • Ciudad en pixel art a 384×216, arte procedural y audio sintetizado: cero assets externos.

Seguridad aplicada

  • Simula más de 25 herramientas reales (Checkov, Trivy, Gitleaks, Semgrep, kube-bench, OPA…) con salida realista e IDs de reglas reales. Nada toca una nube real.
  • Temario: secretos, SAST, SBOM y firma, OIDC en CI, IAM y KMS, RBAC en Kubernetes, SIEM y respuesta a incidentes, cadena de suministro y zero trust.
  • La versión web se sirve con CSP estricta y headers de seguridad completos.
Ciclo de juego
  1. Editar código real
  2. Correr escáner
  3. Desplegar
  4. La ciudad reacciona
Rol
Individual — diseño, contenido y desarrollo
Stack
  • TypeScript
  • Vite
  • Canvas 2D
  • CodeMirror 6
  • Web Audio
  • Tauri 2
  • Cloudflare Workers

Demo en vivo (Zero Trust City, se abre en otra pestaña)

CASE-004Demo2026

POS General

Punto de venta y back office configurable que sigue funcionando sin internet.

Un POS web para negocios pequeños: ventas, movimientos de inventario, clientes y crédito, proveedores y reportes. Creció hasta ser un back office para empresas de servicio, con cotizaciones y portal para el cliente, proyectos con rentabilidad, rutas de mantenimiento programadas y facturación electrónica CFDI 4.0. Funciona sin internet en la PC del negocio o en línea en un VPS, y un hub central me permite dar soporte a cada instalación a distancia.

  • Un solo código, tres formas de correr: Postgres en Docker en la PC del negocio sin internet, app y Postgres en un VPS, o PGlite embebido para desarrollo.
  • Hub central: cada instalación envía un snapshot de sus datos cada 4 horas, así se puede revisar el estado de una tienda sin ir en persona.
  • Facturación CFDI 4.0 a través de un PAC, cotizaciones en PDF, importación desde Excel con mapeo de columnas y detección de SKUs duplicados, y búsqueda global con Ctrl+K.
  • Indicador de conexión con cola de sincronización en el navegador, y exportación e importación completa en JSON para mover datos entre instalaciones.

Seguridad aplicada

  • Permisos por rol en 13 áreas (ver, crear, editar, borrar, cancelar, exportar) validados en el servidor en cada ruta privada de la API, no solo ocultos en la interfaz.
  • Portal del cliente sin cuentas: enlaces revocables y con caducidad, con opciones de privacidad por enlace y registro de accesos.
  • Bitácora de auditoría de acciones sensibles: cancelaciones, aprobaciones, exportaciones, importaciones, inicios de sesión y accesos al portal.
  • Cada instalación se autentica en el hub con su propia API key revocable, y los snapshots nunca incluyen usuarios ni hashes de contraseñas.
Ruta de la petición
  1. Navegador + IndexedDB
  2. Next.js + Auth.js
  3. Drizzle ORM
  4. PostgreSQL
  5. Hub central
Rol
Individual — full stack
Stack
  • Next.js 15
  • React 19
  • TypeScript
  • Auth.js
  • Drizzle ORM
  • PostgreSQL
  • PGlite
  • Dexie (IndexedDB)
  • Tailwind
  • Docker

Demo en vivo (POS General, se abre en otra pestaña)

Experiencia

  1. Actualidad

    Desarrollador Full Stack @ Red Kobra

    Remoto

    Plataforma de operación en campo que usan financieras para administrar cuentas, visitas de cobranza y a sus gestores.

    • Diseñé y desarrollé en Angular el sistema administrativo con el que los clientes gestionan cuentas, visitas, productos, permisos, tarifas y sucursales, con módulos dinámicos y reportes personalizados.
    • Desarrollé la app Android que los gestores usan a diario: registro de visitas en tiempo real, geolocalización, notificaciones push y modo sin conexión que sincroniza solo.
    • Implementé autenticación de dos factores (2FA) y reforcé el flujo de autenticación.
    • Escribí procesos batch que sincronizan grandes volúmenes de datos entre sistemas; diseñé y optimicé esquemas en PostgreSQL y MongoDB.
    • Contenedoricé los entornos con Docker y automaticé las pruebas de APIs con Postman en GitLab CI/CD.
    • Angular
    • TypeScript
    • RxJS
    • Java (Android)
    • Node.js
    • Express
    • PHP
    • PostgreSQL
    • MongoDB
    • Redis
    • Docker
    • GitLab CI/CD

  2. Desarrollador Sr. @ Coppel

    Culiacán, México

    Una de las cadenas comerciales más grandes de México. Trabajé en facturación electrónica (CFDI) y en sistemas de cuentas de clientes.

    • Migré el sistema de facturación electrónica de CFDI 3.3 a 4.0 para cumplir los nuevos lineamientos del SAT, refactorizando los módulos PHP que lo sostienen.
    • Desarrollé procesos en C++ para la validación y el timbrado masivo de comprobantes, y herramientas en C# para reportes y auditorías de CFDI.
    • Creé componentes en Angular para visualizar, editar y validar facturas, y un backend en PHP para cuentas de clientes y financiamientos, protegido con JWT.
    • Migré sistemas legacy de MySQL a PostgreSQL y de PHP monolítico a servicios Node.js en Docker.
    • PHP
    • Angular
    • C++
    • C#
    • Node.js
    • MariaDB
    • PostgreSQL
    • SQL Server
    • XML
    • Docker
    • GitLab

  3. Educación Ingeniería de Software

    Universidad Autónoma de Occidente (UAdeO) · Guamúchil, México

  4. 2024

    Cursos Platzi

    • OWASP Top 10: riesgos en aplicaciones
    • Preparación para la certificación ISO 27001
    • Fundamentos de Azure (preparación AZ-900)
    • Introducción a DevOps
    • Jenkins
    • Administración de servidores Linux
    • Programación en Bash
    • Git y GitHub
    • TypeScript (tipos avanzados, POO y asincronismo)

  5. Idiomas

    Español — Nativo · Inglés — Nivel profesional

Habilidades

Frontend y móvil

  • TypeScript
  • Angular · RxJS
  • React
  • Next.js
  • Tailwind CSS
  • Android (Java)
  • Capacitor

Backend y datos

  • Node.js · Express
  • PHP
  • C# · C++
  • Prisma
  • PostgreSQL
  • MongoDB
  • MariaDB / MySQL
  • Redis
  • Supabase

Nube / DevOps

  • Docker · Compose · Swarm
  • GitLab CI/CD
  • GitHub Actions
  • Nginx
  • Servidores Linux
  • Cloudflare Workers & Pages
  • Fundamentos de AWS y Azure

Seguridad

  • Postgres Row Level Security
  • Aislamiento multi-tenant
  • 2FA y flujos de autenticación JWT
  • Cloudflare Zero Trust y WAF
  • CSP y headers de seguridad
  • SPF / DKIM / DMARC
  • OWASP Top 10
  • Checkov · Trivy · Gitleaks

Contacto

¿Buscas a alguien para un equipo remoto? Respondo en menos de un día.

contacto@marcopayan.dev