Esta guía te ayudará a migrar variables de entorno entre plataformas de despliegue (Fly.io ↔ Railway) y rotar secrets de producción de forma segura sin tiempo de inactividad.

Migrar de Fly.io a Railway

Paso 1: Exportar Variables de Fly.io

Opción A: Via Dashboard Web

1. Ir a fly.io/dashboard
2. Seleccionar tu app: talentbricksai
3. Ir a Secrets
4. Copiar manualmente cada variable (Fly.io no permite exportación masiva)

Opción B: Via CLI (Recomendado)

# Listar todas las secrets
flyctl secrets list -a talentbricksai

# Guardar lista en archivo temporal
flyctl secrets list -a talentbricksai > fly-secrets.txt

Nota: flyctl secrets list solo muestra los nombres, no los valores. Necesitas los valores originales de tu configuración.

Opción C: Desde tu .env Local (si lo tienes)

Si tienes un .env.production local con todas las variables:

# Asegúrate que tiene todas las variables de producción
cat .env.production

Paso 2: Importar a Railway

Opción A: Via Dashboard Web

1. Ir a railway.app
2. Seleccionar tu proyecto
3. Ir a Variables
4. Click + New Variable
5. Agregar cada variable manualmente

Opción B: Via Railway CLI (Recomendado)

# Instalar Railway CLI
npm i -g @railway/cli

# Login
railway login

# Vincular proyecto
railway link

# Importar variables una por una
railway variables set DATABASE_URL="postgresql://..."
railway variables set JWT_SECRET="tu_secret"
railway variables set STRIPE_API_KEY="sk_live_..."
railway variables set STRIPE_WEBHOOK_SECRET="whsec_..."
# ... etc

Opción C: Importar desde archivo .env

# Crear archivo temporal con variables
cat > railway.env << 'EOF'
DATABASE_URL=postgresql://...
JWT_SECRET=...
STRIPE_API_KEY=sk_live_...
STRIPE_WEBHOOK_SECRET=whsec_...
# ... todas las variables
EOF

# Importar todas a la vez (cada línea)
cat railway.env | while IFS='=' read -r key value; do
  railway variables set "$key"="$value"
done

# ⚠️ Eliminar archivo temporal
rm railway.env

Paso 3: Verificar Variables

# Listar variables en Railway
railway variables

# Verificar que todas las requeridas están presentes
railway run env | grep -E "(DATABASE_URL|JWT_SECRET|STRIPE)"

Paso 4: Actualizar URLs y Webhooks

Después de migrar a Railway, actualiza:

Stripe Webhooks

1. Ir a dashboard.stripe.com/webhooks
2. Editar webhook existente o crear nuevo:
   • URL anterior (Fly.io): https://talentbricksai.fly.dev/stripe-webhook
   • URL nueva (Railway): https://talentbricksai-production.up.railway.app/stripe-webhook
3. Copiar nuevo Signing secret (whsec_...)
4. Actualizar en Railway:

   railway variables set STRIPE_WEBHOOK_SECRET="whsec_nuevo_valor"

Google OAuth

1. Ir a console.cloud.google.com/apis/credentials
2. Editar OAuth client
3. Authorized redirect URIs - agregar:

   https://talentbricksai-production.up.railway.app/auth/google/callback

GitHub OAuth

1. Ir a github.com/settings/developers
2. Editar OAuth App
3. Authorization callback URL - cambiar a:

   https://talentbricksai-production.up.railway.app/auth/github/callback

Actualizar CLIENT_URL

# Railway
railway variables set CLIENT_URL="https://talentbricksai-production.up.railway.app"

Paso 5: Desplegar y Verificar

# Desplegar en Railway
railway up

# Ver logs
railway logs --tail

# Verificar que la app inicia sin errores

Migrar de Railway a Fly.io

Paso 1: Exportar Variables de Railway

# Listar variables
railway variables

# Guardar en archivo temporal (manual)
railway variables > railway-vars.txt

Paso 2: Importar a Fly.io

# Configurar cada secret
flyctl secrets set DATABASE_URL="postgresql://..." -a talentbricksai
flyctl secrets set JWT_SECRET="tu_secret" -a talentbricksai
flyctl secrets set STRIPE_API_KEY="sk_live_..." -a talentbricksai
# ... etc

Nota: Cada vez que configuras un secret en Fly.io, la app se redespliega automáticamente. Para evitar múltiples redespliegues, puedes usar:

# Configurar múltiples secrets a la vez
flyctl secrets set \
  DATABASE_URL="postgresql://..." \
  JWT_SECRET="tu_secret" \
  STRIPE_API_KEY="sk_live_..." \
  STRIPE_WEBHOOK_SECRET="whsec_..." \
  -a talentbricksai

Paso 3: Actualizar URLs y Webhooks

Mismo proceso que arriba, pero cambiar URLs de Railway a Fly.io:

• Railway: https://app.up.railway.app
• Fly.io: https://app.fly.dev

Rotar Secrets de Producción

Es buena práctica rotar secrets periódicamente o después de una brecha de seguridad.

JWT_SECRET

⚠️ Importante: Cambiar JWT_SECRET invalidará todas las sesiones activas. Los usuarios tendrán que hacer login de nuevo.

# 1. Generar nuevo secret
openssl rand -base64 32

# 2. Configurar en tu plataforma
# Fly.io:
flyctl secrets set JWT_SECRET="nuevo_valor_aqui" -a talentbricksai

# Railway:
railway variables set JWT_SECRET="nuevo_valor_aqui"

# 3. Reiniciar app (automático en Fly.io, manual en Railway)
railway up

# 4. Notificar a usuarios (opcional)
# Enviar email avisando que necesitan hacer login de nuevo

Alternativa sin downtime (requiere código):

1. Soportar múltiples secrets simultáneamente:

   app/src/server/auth.ts

   const JWT_SECRETS = [
     process.env.JWT_SECRET, // nuevo
     process.env.JWT_SECRET_OLD, // viejo
   ];
   
   // Intentar verificar con cada secret
   for (const secret of JWT_SECRETS) {
     try {
       return jwt.verify(token, secret);
     } catch (err) {
       continue;
     }
   }

2. Configurar ambos secrets:

   railway variables set JWT_SECRET="nuevo"
   railway variables set JWT_SECRET_OLD="viejo"

3. Después de ~24 horas, remover el viejo:

   railway variables set JWT_SECRET_OLD=""

Stripe API Keys

Estrategia sin downtime:

Paso 1: Crear Restricted Key (Preparación)

1. Ir a dashboard.stripe.com/apikeys
2. Click + Create restricted key
3. Nombre: TalentBricks Production - 2024
4. Permisos necesarios:
   • Checkout Sessions: Write
   • Customers: Write
   • Subscriptions: Write
   • Prices: Read
   • Products: Read
   • Invoices: Read
5. Copiar la nueva API key (sk_live_...)

Paso 2: Actualizar API Key

# Railway
railway variables set STRIPE_API_KEY="sk_live_nuevo_valor"

# Fly.io
flyctl secrets set STRIPE_API_KEY="sk_live_nuevo_valor" -a talentbricksai

# Verificar que funciona
railway logs --tail
# Buscar errores relacionados con Stripe

Paso 3: Actualizar Webhook Secret

⚠️ Importante: Crear webhook ANTES de cambiar el secret para evitar downtime.

1. Ir a dashboard.stripe.com/webhooks
2. Click Add endpoint
3. Endpoint URL: https://tu-dominio.com/stripe-webhook
4. Seleccionar eventos (ver checklist de producción)
5. Click Add endpoint
6. Copiar Signing secret (whsec_...)
7. Actualizar variable:

   railway variables set STRIPE_WEBHOOK_SECRET="whsec_nuevo"

8. Opcional: Eliminar webhook viejo después de verificar que el nuevo funciona

Paso 4: Verificar Webhooks

# Hacer compra de prueba
# Verificar en Stripe Dashboard → Webhooks → Recent deliveries → 200 OK

AWS S3 Credentials

Estrategia sin downtime:

Paso 1: Crear Nuevo IAM User

1. Ir a console.aws.amazon.com/iam
2. Users → Create user
3. Nombre: talentbricks-app-v2
4. Attach policy: AmazonS3FullAccess (o custom policy)
5. Create user
6. Security credentials → Create access key
7. Copiar Access key ID y Secret access key

Paso 2: Actualizar Credentials

# Railway
railway variables set AWS_S3_IAM_ACCESS_KEY="AKIA_nuevo"
railway variables set AWS_S3_IAM_SECRET_KEY="nuevo_secret"

# Fly.io
flyctl secrets set \
  AWS_S3_IAM_ACCESS_KEY="AKIA_nuevo" \
  AWS_S3_IAM_SECRET_KEY="nuevo_secret" \
  -a talentbricksai

Paso 3: Verificar S3 Uploads

# Intentar subir un archivo de prueba
# O hacer upload via dashboard de admin

Paso 4: Desactivar IAM User Antiguo

1. Ir a IAM → Users → talentbricks-app-v1
2. Security credentials
3. Make inactive en las access keys antiguas
4. Esperar 24-48 horas
5. Si no hay errores, eliminar user antiguo

CloudFront Private Key

⚠️ Complejo: Rotar CloudFront keys requiere actualizar la distribución.

Paso 1: Generar Nuevo Key Pair

# Generar nuevo par de claves
openssl genrsa -out cloudfront_private_key_new.pem 2048
openssl rsa -pubout -in cloudfront_private_key_new.pem -out cloudfront_public_key_new.pem

Paso 2: Subir Public Key a CloudFront

1. Ir a console.aws.amazon.com/cloudfront
2. Public keys → Add public key
3. Pegar contenido de cloudfront_public_key_new.pem
4. Copiar el Key ID generado

Paso 3: Actualizar Variables

# Leer private key en una línea
PRIVATE_KEY=$(awk 'NF {sub(/\r/, ""); printf "%s\\n",$0;}' cloudfront_private_key_new.pem)

# Configurar
railway variables set CLOUDFRONT_KEY_PAIR_ID="K_nuevo_id"
railway variables set CLOUDFRONT_PRIVATE_KEY="$PRIVATE_KEY"

Paso 4: Verificar Videos

1. Abrir curso con video en la app
2. Verificar que el video carga correctamente
3. Verificar que la URL tiene signature válida

Paso 5: Remover Public Key Antiguo

1. CloudFront → Public keys
2. Encontrar key antiguo
3. Disassociate de las distribuciones
4. Delete

SendGrid API Key

Estrategia sin downtime:

Paso 1: Crear Nueva API Key

1. Ir a app.sendgrid.com/settings/api_keys
2. Click Create API Key
3. Nombre: TalentBricks Production - 2024
4. Permisos: Full Access (o Restricted con Mail Send)
5. Copiar API key (SG....)

Paso 2: Actualizar Variable

railway variables set SENDGRID_API_KEY="SG.nuevo_valor"

Paso 3: Verificar Email Delivery

# Registrar nuevo usuario para probar email
# O usar "Forgot password" para enviar email de prueba

# Verificar en SendGrid → Activity que el email se envió

Paso 4: Eliminar API Key Antigua

1. SendGrid → Settings → API Keys
2. Encontrar key antigua
3. Click ••• → Delete

Checklist de Migración sin Downtime

Sigue este checklist para migrar sin tiempo de inactividad:

Fase de Preparación

• Backup completo de base de datos
• Documentar todas las variables actuales
• Crear nuevos secrets/keys en servicios externos
• Configurar nuevo entorno en paralelo (si es posible)

Fase de Migración

• Configurar variables en nuevo entorno
• Probar conexión a base de datos
• Probar pagos en Stripe test mode primero
• Configurar webhooks en nuevo dominio (sin eliminar los viejos todavía)
• Hacer deploy de prueba en nuevo entorno
• Verificar logs sin errores

Fase de Switchover

• Reducir TTL de DNS a 300 segundos (5 minutos)
• Esperar 24 horas para que TTL se propague
• Cambiar DNS para apuntar a nuevo entorno
• Monitorear logs en ambos entornos
• Verificar que webhooks llegan al nuevo endpoint

Fase de Verificación

• Verificar flujo completo en producción
• Hacer compra de prueba real
• Verificar que emails llegan
• Verificar que videos cargan
• Monitorear errores por 24-48 horas

Fase de Limpieza

• Incrementar TTL de DNS a valor normal (3600)
• Eliminar webhooks viejos
• Desactivar secrets viejos (no eliminar todavía)
• Esperar 7 días
• Eliminar secrets viejos permanentemente
• Apagar entorno viejo

Tabla de Rotación de Secrets

Secret	Frecuencia Recomendada	Impacto	Complejidad
JWT_SECRET	Cada 6 meses o después de brecha	Alto - usuarios deben re-login	Baja
STRIPE_API_KEY	Cada 12 meses	Medio - pagos temporalmente afectados	Baja
STRIPE_WEBHOOK_SECRET	Al cambiar endpoints	Bajo - crear nuevo webhook	Baja
AWS_S3_IAM_ACCESS_KEY	Cada 90 días (buena práctica)	Medio - uploads fallan	Media
CLOUDFRONT_PRIVATE_KEY	Cada 12 meses	Alto - videos no cargan	Alta
SENDGRID_API_KEY	Cada 12 meses	Medio - emails no llegan	Baja
DATABASE_URL	Solo al migrar DB	Crítico - app no funciona	Alta

Script de Migración Automatizada

Para migrar todas las variables de Fly.io a Railway:

migrate-fly-to-railway.sh

#!/bin/bash
set -e  # Exit on error

echo "🚀 Migrando variables de Fly.io a Railway..."

# Variables a migrar (agregar todas las tuyas)
VARS=(
  "DATABASE_URL"
  "JWT_SECRET"
  "STRIPE_API_KEY"
  "STRIPE_WEBHOOK_SECRET"
  "PAYMENTS_MONTHLY_SUBSCRIPTION_PLAN_ID"
  "PAYMENTS_ANNUAL_SUBSCRIPTION_PLAN_ID"
  "SENDGRID_API_KEY"
  "ADMIN_EMAILS"
  "CLIENT_URL"
  "AWS_S3_IAM_ACCESS_KEY"
  "AWS_S3_IAM_SECRET_KEY"
  "AWS_S3_FILES_BUCKET"
  "AWS_S3_REGION"
  "CLOUDFRONT_DOMAIN"
  "CLOUDFRONT_KEY_PAIR_ID"
  "CLOUDFRONT_PRIVATE_KEY"
)

# Leer de .env local (asegúrate que tiene valores de producción)
if [ ! -f ".env.production" ]; then
  echo "❌ Error: .env.production no encontrado"
  exit 1
fi

source .env.production

# Migrar cada variable
for var in "${VARS[@]}"; do
  value="${!var}"
  if [ -z "$value" ]; then
    echo "⚠️  Saltando $var (vacío)"
    continue
  fi

  echo "✅ Migrando $var"
  railway variables set "$var"="$value"
done

echo "🎉 Migración completada!"
echo "Verifica: railway variables"

Uso:

chmod +x migrate-fly-to-railway.sh
./migrate-fly-to-railway.sh

Troubleshooting

Error: “Secret already exists”

Railway:

# Eliminar primero
railway variables set VARIABLE=""
# Luego configurar nuevo valor
railway variables set VARIABLE="nuevo_valor"

Fly.io:

# Fly.io permite sobrescribir directamente
flyctl secrets set VARIABLE="nuevo_valor" -a talentbricksai

Error: Variables no se actualizan

Railway:

# Forzar redespliegue
railway up --detach

Fly.io:

# Reiniciar app
flyctl apps restart talentbricksai

Webhooks siguen llegando al endpoint viejo

Solución:

1. Verificar que DNS cambió: nslookup tu-dominio.com
2. Esperar propagación de DNS (hasta 48 horas)
3. Verificar TTL bajo antes del cambio

Recursos Adicionales

• Checklist de Producción
• Variables de Entorno - Referencia completa
• Guía de Despliegue en Fly.io
• Guía de Despliegue en Railway

Soporte

Si encuentras problemas durante la migración:

1. Revisar logs: railway logs o flyctl logs
2. Verificar que todas las variables están configuradas
3. Consultar documentación de la plataforma
4. Pedir ayuda en Wasp Discord