jtorchia

Before you install any rate limiting middleware in Next.js, you need to define what asset you're protecting, what abuse you're expecting, and what a false positive actually costs you. The library is the last decision. The policy is the first.

Antes de instalar cualquier middleware de rate limiting en Next.js, necesitás definir qué activo protegés, qué abuso esperás y qué cuesta un falso positivo. La librería es lo último. La política es lo primero.

useEffect isn't broken — the mental model we teach with it is. I audited every useEffect in a React 19 codebase and found 4 concrete categories where it was an antipattern. Here are the patterns that replaced them: derived state, event handlers, use(), and Server Actions.

useEffect no está roto — el modelo mental con el que lo enseñamos sí lo está. Revisé cada useEffect de una codebase en React 19 y encontré 4 categorías concretas donde era un antipatrón. Acá están los patrones que los reemplazaron: derived state, event handlers, use(), y Server Actions.

Prisma in Next.js 16 Server Actions has an N+1 vector that doesn't exist in classic API routes. The culprit isn't the ORM — it's how Actions compose. Here are the patterns that prevent it.

Prisma en Server Actions de Next.js 16 tiene un vector de N+1 que no existe en API routes clásicas. El culpable no es el ORM — es cómo las Actions se componen. Acá están los patrones que lo previenen.

I built a reproducible lab with Spring Boot 3.5, Java 21, AppCDS, AOT, and GraalVM Native. The conclusion isn't that native wins or that classic JVM loses: it's that in 2026, comparing only startup time is the fastest way to make an architecture decision with incomplete data.

Armé un laboratorio reproducible con Spring Boot 3.5, Java 21, AppCDS, AOT y GraalVM Native. La conclusión no es que native gana ni que JVM clásica pierde: es que en 2026 comparar solo startup time es la forma más rápida de tomar una decisión de arquitectura con datos incompletos.

A 26M parameter model trained via Gemini distillation for tool calling showed up on HN and made me stop everything. Not to celebrate — to understand what real problem it points at, where the limits actually are, and whether it belongs in a stack like mine.

Un modelo de 26M de parámetros entrenado con destilación de Gemini para tool calling apareció en HN y me hizo parar todo. No para celebrar, sino para entender qué problema real señala, dónde están los límites y si vale la pena integrarlo en un stack como el mío.

OpenTelemetry doesn't improve performance. It improves diagnostic quality when a slow request mixes DB, downstream, N+1, and partial errors. This reproducible lab shows which signals stay hidden when you only have logs, and what appears when you look at the trace.

OpenTelemetry no mejora la performance. Mejora la calidad del diagnóstico cuando una request lenta mezcla DB, downstream, N+1 y errores parciales. Este laboratorio reproducible muestra qué señales quedan ocultas si solo tenés logs, y qué aparece cuando mirás el trace.

I built a reproducible lab to compare Prisma 5 against Spring Boot JdbcTemplate on the same PostgreSQL 16. What I found wasn't a winner: it was that query shape and N+1 explain almost everything, and blaming the ORM is too easy.

Armé un laboratorio reproducible para comparar Prisma 5 contra Spring Boot JdbcTemplate sobre el mismo PostgreSQL 16. Lo que encontré no fue un ganador: fue que el shape de la query y el N+1 explican casi todo, y que culpar al ORM es demasiado fácil.

A reproducible experiment with Spring Boot 3, Java 21, and k6 to measure when retry actually buys availability and when it amplifies a failure. The metric that matters isn't p95: it's retry_amplification_factor.

Un experimento reproducible con Spring Boot 3, Java 21 y k6 para medir cuándo un retry mejora disponibilidad y cuándo amplifica una caída. La métrica que importa no es el p95: es el retry_amplification_factor.

A low p95 with a 97% error rate isn't a fast pool — it's a pool that fails fast. I built a reproducible experiment with Spring Boot 3, PostgreSQL, and k6 to understand which signals actually matter — and which ones deceive you.

Un p95 bajo con 97% de error rate no es un pool rápido: es un pool que falla rápido. Armé un experimento reproducible con Spring Boot 3, PostgreSQL y k6 para entender qué señales importan de verdad — y cuáles te engañan.

The CI was green. The cache wasn't working. Forty minutes per build run because pnpm couldn't find the store in GitHub Actions. Here are the logs, the before/after YAML, and the exact configuration that brought it down to 8 minutes.

El CI funcionaba. El caché no. Cuarenta minutos de build por run porque pnpm no encontraba el store en GitHub Actions. Acá están los logs, el YAML antes y después, y la configuración exacta que lo bajó a 8 minutos.

Locking down Actuator endpoints isn't enough. After the incident, I rebuilt the authorization model from scratch: explicit SecurityFilterChain, separate health groups, roles for /metrics and /env, and real validation with curl. This is what's still standing.

Cerrar los endpoints de Actuator no alcanza. Después del incidente, reconstruí el modelo de autorización desde cero: SecurityFilterChain explícito, health groups separados, roles para /metrics y /env, y validación real con curl. Esto es lo que quedó en pie.

The install-time benchmark I published earlier didn't capture the real cost of pnpm workspaces in CI: silent cache invalidation, dependency hoisting that breaks in App Router, and a specific edge case that can take down your Railway pipeline. Here's what I failed to measure.

El benchmark de install time que publiqué antes no capturó el verdadero costo de pnpm workspaces en CI: cache invalidation silenciosa, hoisting de dependencias que rompe en App Router, y un edge case específico que puede tirar tu pipeline en Railway. Acá está lo que faltó medir.

After publishing my Jakarta EE vs Spring Boot analysis, I audited Actuator's defaults on a backend I own and found sensitive endpoints wide open — ones I never consciously configured. Here's the hardening checklist I built afterward.

Después de publicar el análisis de Jakarta EE vs Spring Boot, revisé los defaults de Actuator en un backend propio y encontré endpoints sensibles abiertos que nunca configuré conscientemente. Acá está el checklist de hardening que armé después.

I ran all three package managers on the same Next.js 16 + strict TypeScript monorepo with Shadcn/ui and Radix UI. pnpm wins on disk and CI — but there's a real compatibility cost the migration guides never tell you about.

Corrí los tres package managers en el mismo monorepo Next.js 16 + TypeScript estricto con Shadcn/ui y Radix UI. pnpm gana en disco y CI — pero tiene un costo de compatibilidad real que las guías de migración no te cuentan.

I migrated a digital signature backend from Spring Boot 3.x to Jakarta EE 11. The synthetic benchmarks looked great. Production told me a different story. Here are the real numbers, the three problems no official guide mentions, and why neither stack wins across the board.

Migré un backend de firma digital de Spring Boot 3.x a Jakarta EE 11. Los benchmarks sintéticos prometían maravillas. La producción real me dijo otra cosa. Acá están los números, los tres problemas que ninguna guía oficial menciona, y por qué ninguno de los dos gana en todo.