Tools Dashboard — Plataforma Administrativa SaaS Multi-Tenant
14 servicios detrás de un gateway Kong con WAF, rate limits por niveles y una biblioteca de aplicaciones que hace SSO hacia las apps registradas
No era una sola aplicación — era una plataforma para una familia de aplicaciones. Un proveedor de identidad, una superficie administrativa, un gateway, cuatro bases de datos y un registro que permitía a los usuarios autenticados entrar a cualquier app registrada sin volver a iniciar sesión.
La arquitectura: 14 servicios en contenedores con un contrato estricto de aislamiento por funcionalidad: cada funcionalidad llevaba su propio contrato 'feature.yaml', un 'domain.py' puro sin I/O y un 'infrastructure.py' para la integración externa. El backend orquestaba; no poseía lógica de negocio.
El problema
El equipo construía varios productos internos, cada uno de los cuales necesitaba su propia autenticación, su propio modelo de usuarios y su propia superficie administrativa — lo que significaba usuarios iniciando sesión cinco veces e ingenieros reconstruyendo la misma fontanería cinco veces.
La superficie requerida era amplia: una app pública, un panel administrativo, un servicio de autenticación, un servicio de WebSocket para actualizaciones en tiempo real, workers en segundo plano y un registro que rastreaba qué funcionalidades pertenecían a qué servicio. La arquitectura monolítica tradicional no podía cumplir el requisito de escalamiento; los microservicios ingenuos no podían cumplir el requisito de «no reconstruir la autenticación cinco veces».
El enfoque
Un gateway de API Kong 3.4 en la puerta de entrada con validación JWT, un Web Application Firewall (reglas contra inyección SQL, XSS y path-traversal) y rate limits por niveles (60 / 600 / 10,000 req/min según el plan). Detrás, servicios FastAPI: uno para la API pública, uno para autenticación, uno para WebSockets, uno para el registro de funcionalidades, y workers de Celery para trabajos en segundo plano.
La autenticación combinó Google OAuth, correo/contraseña con bcrypt costo 12 y verificación de filtraciones con HaveIBeenPwned, y 2FA por TOTP obligatorio para administradores — con rotación de refresh tokens de un solo uso y tokens CSRF en cada llamada que modifica estado.
Cuatro almacenes de datos, cada uno con su trabajo: PostgreSQL para cuentas y datos estructurados, Cassandra para eventos de series temporales y una pista de auditoría particionada por usuario/tenant, Redis para caché y fan-out pub/sub, y SeaweedFS para almacenamiento de objetos compatible con S3. El servicio de WebSocket se diseñó para 10,000 conexiones por servidor con un tope de 10 msg/seg/usuario.
La pieza destacada fue la App Library: los usuarios exploran las apps registradas como tarjetas, hacen clic en una y quedan autenticados automáticamente en la app remota mediante una redirección OAuth — convirtiendo a Tools Dashboard en un mini proveedor de identidad para toda la familia de productos.
El resultado
Una plataforma multiservicio lista para producción con autenticación unificada, actualizaciones en tiempo real a través de 14 servicios y un lanzador de single sign-on para cada app de la familia. Cada servicio se entregó con un 'CONTEXT.md' propio y un archivo de contrato de funcionalidades, razón por la cual una plataforma de 14 servicios se mantuvo navegable en lugar de colapsar en un caos.
Diseñada contra objetivos duros: GET por debajo de 100 ms en caché / 500 ms sin caché, POST por debajo de 1 s, carga de archivos por debajo de 5 s, WebSocket hasta 10,000 conexiones por nodo. WCAG 2.1 AA en el front end.
Abrir la plataforma en vivo
La plataforma está en vivo. Abra el gateway, regístrese en el portal público y explore la biblioteca de aplicaciones que hace single sign-on hacia las demás apps de la familia. Los niveles de suscripción de pago aún están en construcción y no forman parte de este despliegue.
Abrir la plataforma en vivoConclusión clave
Los microservicios no fallan por los servicios — fallan por las costuras. Los contratos de funcionalidad ('feature.yaml'), un 'CONTEXT.md' por servicio y un solo gateway dueño de los rate limits y el WAF son lo que mantuvo legibles 14 servicios.
¿Listo para construir su plataforma?
Una llamada de 30 minutos para ver si somos el aliado correcto. Sin discurso de venta. Sin presión. Solo una conversación sobre lo que necesita construir.
La mayoría de los proyectos inicia con un diagnóstico de arquitectura acotado: de $5,000 a $12,000, de 1 a 3 semanas. Construcción de plataformas a precio fijo: de $20,000 a $80,000, con control por hitos, 50% de depósito. CTO fraccional: de $6,000 a $10,000 por mes, mínimo 90 días.