9 skills de backend que necesitas saber sí o sí en 2026
Lo que de verdad se pide hoy en un backend, explicado como se lo contaría a un amigo: sin humo y con un dibujo por cada skill.
Llevo más de diez años haciendo backends y, si tuviera que empezar de cero en 2026, estas son las nueve cosas en las que me centraría. Ni una más. No te voy a soltar teoría: cada skill va con una explicación de dos frases y un dibujo, que es como a mí me gusta aprender.
Si ya controlas varias, perfecto. Si no controlas ninguna, tampoco pasa nada: empieza por la primera y sigue el orden.
1. REST + gRPC
REST es la forma clásica de que dos programas hablen: el cliente pide algo por HTTP y el servidor contesta con un JSON. Es lo que usa casi todo lo que ves en internet y lo puedes leer a simple vista.
gRPC es lo mismo pero en versión turbo: usa HTTP/2 y manda los datos en binario (Protobuf) en vez de texto. Pesa menos y va más rápido, por eso se usa entre servicios internos. Regla fácil: REST para hablar con el mundo, gRPC para hablar entre tus propios servicios.
2. Auth moderna (Passkeys > JWT)
Las contraseñas se olvidan, se filtran y se reutilizan. Una passkey es una llave que vive en tu móvil o tu ordenador y se desbloquea con la huella o la cara. No hay nada que robar porque no hay nada que escribir.
Una vez el usuario entra, el servidor le da un JWT: un pase firmado que dice quién es y hasta cuándo vale. Con ese pase llama a tus APIs y ellas solo tienen que comprobar la firma, sin volver a preguntar nada. Passkey para entrar, JWT para moverse.
3. Patrones de caché con Redis
Ir a la base de datos es lento y caro. Redis es una memoria rapidísima donde guardas lo que más se pide para no tener que calcularlo cada vez.
El patrón más común se llama cache-aside: miras primero en Redis; si está (hit), lo devuelves; si no está (miss), vas a la base de datos, lo guardas en Redis con una caducidad (TTL) y lo devuelves. La próxima vez ya no hace falta ir a la base de datos.
4. Maestría en SQL y NoSQL
SQL guarda los datos en tablas con filas y columnas, como una hoja de cálculo. Es rígido a propósito: cada dato tiene su sitio, y eso es justo lo que quieres para usuarios, pedidos o pagos.
NoSQL guarda documentos sueltos (normalmente JSON) que no tienen por qué parecerse entre sí. Es flexible y escala muy bien cuando los datos cambian de forma o hay muchísimos. No es uno u otro: un backend serio usa los dos y sabe cuándo toca cada uno.
5. Código asíncrono y reactivo
Asíncrono significa no quedarse esperando. Pides algo a la base de datos y, mientras llega, atiendes a otros usuarios. Es la diferencia entre un camarero que se queda parado delante de la cocina y uno que sigue sirviendo mesas.
Reactivo va un paso más allá: en vez de pedir y esperar una respuesta, te suscribes a un flujo de datos y reaccionas cada vez que llega algo nuevo. Piensa en un chat o en precios en tiempo real.
6. Sistema de eventos con Kafka
Kafka es un tablón de anuncios gigante. Un servicio publica un evento («pedido creado») y se olvida. Kafka lo guarda, y todos los servicios interesados (facturación, envíos, emails) lo leen cuando pueden.
La gracia es que nadie depende de nadie. Si el servicio de emails se cae, los eventos siguen ahí esperándole. Así es como se desacopla un sistema grande sin que se venga abajo.
7. OWASP + Zero Trust
OWASP es la lista de los fallos de seguridad más típicos: inyección de código, accesos mal controlados, datos sensibles expuestos, configuraciones por defecto. Conocerla es conocer las diez formas en que te van a intentar entrar.
Zero Trust es la actitud: no te fíes de nadie por estar «dentro». Cada petición, venga de un usuario, un dispositivo o de otro servicio tuyo, se verifica siempre. Lo de «la red interna es segura» se acabó.
8. Microservicios + mallas de servicios
Un microservicio es un trozo pequeño de tu aplicación que vive solo, con su propia base de datos, y que puedes desplegar y escalar sin tocar el resto. En vez de un edificio, tienes un barrio de casas.
El problema es que esas casas tienen que hablar entre sí, y eso se complica: reintentos, cifrado, límites, quién puede llamar a quién. La malla de servicios (Istio, Linkerd) se encarga de toda esa red por ti, para que cada servicio solo se preocupe de su trabajo.
9. OpenTelemetry + observabilidad
Cuando algo falla en producción, necesitas ver qué ha pasado por dentro. La observabilidad son tres cosas: métricas (números), logs (texto) y trazas (el camino que hizo una petición por todos tus servicios).
OpenTelemetry es el estándar para recoger esas tres cosas de cualquier servicio y mandarlas a la herramienta que quieras (Grafana, Datadog, lo que sea). Lo instrumentas una vez y dejas de adivinar.
Resumen
Si te lo tienes que llevar en una lista:
- REST para fuera, gRPC para dentro.
- Passkeys para entrar, JWT para moverse.
- Redis delante de la base de datos.
- SQL y NoSQL: los dos, cada uno en su sitio.
- Asíncrono siempre; reactivo cuando haya flujo.
- Kafka para que nadie dependa de nadie.
- OWASP para saber qué te atacan, Zero Trust para no fiarte.
- Microservicios con malla, no sin ella.
- OpenTelemetry para dejar de adivinar.
No hace falta dominarlas todas hoy. Pero si en 2026 quieres que te tomen en serio como backend, tienes que saber qué es cada una y cuándo se usa. El resto viene con la práctica.