23 de agosto de 2026

9 skills de backend que necesitas saber sí o sí en 2026

Lo que de verdad se pide hoy en un backend, explicado como se lo contaría a un amigo: sin humo y con un dibujo por cada skill.

Llevo más de diez años haciendo backends y, si tuviera que empezar de cero en 2026, estas son las nueve cosas en las que me centraría. Ni una más. No te voy a soltar teoría: cada skill va con una explicación de dos frases y un dibujo, que es como a mí me gusta aprender.

Si ya controlas varias, perfecto. Si no controlas ninguna, tampoco pasa nada: empieza por la primera y sigue el orden.

1. REST + gRPC

REST es la forma clásica de que dos programas hablen: el cliente pide algo por HTTP y el servidor contesta con un JSON. Es lo que usa casi todo lo que ves en internet y lo puedes leer a simple vista.

gRPC es lo mismo pero en versión turbo: usa HTTP/2 y manda los datos en binario (Protobuf) en vez de texto. Pesa menos y va más rápido, por eso se usa entre servicios internos. Regla fácil: REST para hablar con el mundo, gRPC para hablar entre tus propios servicios.

REST manda texto (JSON); gRPC manda binario (Protobuf) por HTTP/2
REST manda texto (JSON); gRPC manda binario (Protobuf) por HTTP/2

2. Auth moderna (Passkeys > JWT)

Las contraseñas se olvidan, se filtran y se reutilizan. Una passkey es una llave que vive en tu móvil o tu ordenador y se desbloquea con la huella o la cara. No hay nada que robar porque no hay nada que escribir.

Una vez el usuario entra, el servidor le da un JWT: un pase firmado que dice quién es y hasta cuándo vale. Con ese pase llama a tus APIs y ellas solo tienen que comprobar la firma, sin volver a preguntar nada. Passkey para entrar, JWT para moverse.

Passkey para iniciar sesión, JWT para acceder a las APIs
Passkey para iniciar sesión, JWT para acceder a las APIs

3. Patrones de caché con Redis

Ir a la base de datos es lento y caro. Redis es una memoria rapidísima donde guardas lo que más se pide para no tener que calcularlo cada vez.

El patrón más común se llama cache-aside: miras primero en Redis; si está (hit), lo devuelves; si no está (miss), vas a la base de datos, lo guardas en Redis con una caducidad (TTL) y lo devuelves. La próxima vez ya no hace falta ir a la base de datos.

Cache-aside: primero Redis, y solo si falla, la base de datos
Cache-aside: primero Redis, y solo si falla, la base de datos

4. Maestría en SQL y NoSQL

SQL guarda los datos en tablas con filas y columnas, como una hoja de cálculo. Es rígido a propósito: cada dato tiene su sitio, y eso es justo lo que quieres para usuarios, pedidos o pagos.

NoSQL guarda documentos sueltos (normalmente JSON) que no tienen por qué parecerse entre sí. Es flexible y escala muy bien cuando los datos cambian de forma o hay muchísimos. No es uno u otro: un backend serio usa los dos y sabe cuándo toca cada uno.

SQL: tablas con estructura fija. NoSQL: documentos flexibles
SQL: tablas con estructura fija. NoSQL: documentos flexibles

5. Código asíncrono y reactivo

Asíncrono significa no quedarse esperando. Pides algo a la base de datos y, mientras llega, atiendes a otros usuarios. Es la diferencia entre un camarero que se queda parado delante de la cocina y uno que sigue sirviendo mesas.

Reactivo va un paso más allá: en vez de pedir y esperar una respuesta, te suscribes a un flujo de datos y reaccionas cada vez que llega algo nuevo. Piensa en un chat o en precios en tiempo real.

Asíncrono: pides y sigues. Reactivo: los datos fluyen solos
Asíncrono: pides y sigues. Reactivo: los datos fluyen solos

6. Sistema de eventos con Kafka

Kafka es un tablón de anuncios gigante. Un servicio publica un evento («pedido creado») y se olvida. Kafka lo guarda, y todos los servicios interesados (facturación, envíos, emails) lo leen cuando pueden.

La gracia es que nadie depende de nadie. Si el servicio de emails se cae, los eventos siguen ahí esperándole. Así es como se desacopla un sistema grande sin que se venga abajo.

Productor publica, Kafka guarda, consumidores leen a su ritmo
Productor publica, Kafka guarda, consumidores leen a su ritmo

7. OWASP + Zero Trust

OWASP es la lista de los fallos de seguridad más típicos: inyección de código, accesos mal controlados, datos sensibles expuestos, configuraciones por defecto. Conocerla es conocer las diez formas en que te van a intentar entrar.

Zero Trust es la actitud: no te fíes de nadie por estar «dentro». Cada petición, venga de un usuario, un dispositivo o de otro servicio tuyo, se verifica siempre. Lo de «la red interna es segura» se acabó.

OWASP: lo que te van a atacar. Zero Trust: verificar siempre
OWASP: lo que te van a atacar. Zero Trust: verificar siempre

8. Microservicios + mallas de servicios

Un microservicio es un trozo pequeño de tu aplicación que vive solo, con su propia base de datos, y que puedes desplegar y escalar sin tocar el resto. En vez de un edificio, tienes un barrio de casas.

El problema es que esas casas tienen que hablar entre sí, y eso se complica: reintentos, cifrado, límites, quién puede llamar a quién. La malla de servicios (Istio, Linkerd) se encarga de toda esa red por ti, para que cada servicio solo se preocupe de su trabajo.

Microservicios independientes; la malla gestiona la red entre ellos
Microservicios independientes; la malla gestiona la red entre ellos

9. OpenTelemetry + observabilidad

Cuando algo falla en producción, necesitas ver qué ha pasado por dentro. La observabilidad son tres cosas: métricas (números), logs (texto) y trazas (el camino que hizo una petición por todos tus servicios).

OpenTelemetry es el estándar para recoger esas tres cosas de cualquier servicio y mandarlas a la herramienta que quieras (Grafana, Datadog, lo que sea). Lo instrumentas una vez y dejas de adivinar.

OpenTelemetry recoge métricas, logs y trazas de todos tus servicios
OpenTelemetry recoge métricas, logs y trazas de todos tus servicios

Resumen

Si te lo tienes que llevar en una lista:

  • REST para fuera, gRPC para dentro.
  • Passkeys para entrar, JWT para moverse.
  • Redis delante de la base de datos.
  • SQL y NoSQL: los dos, cada uno en su sitio.
  • Asíncrono siempre; reactivo cuando haya flujo.
  • Kafka para que nadie dependa de nadie.
  • OWASP para saber qué te atacan, Zero Trust para no fiarte.
  • Microservicios con malla, no sin ella.
  • OpenTelemetry para dejar de adivinar.

No hace falta dominarlas todas hoy. Pero si en 2026 quieres que te tomen en serio como backend, tienes que saber qué es cada una y cuándo se usa. El resto viene con la práctica.