Saber que algo se rompió antes de que lo diga el paciente.

Amedi no arranca de cero. PostHog ya vive en la API y en dos de las tres webs, y el audit trail app-layer —$extends de Prisma, contexto ALS, buffer y una redacción fail-closed— ya escribe en audit_logs sobre los once modelos que tocan PHI. Lo que no existe es el hilo: nada correlaciona una línea de log con la excepción que la siguió ni con la fila de auditoría que dejó. Hoy, cuando algo se rompe, el camino es abrir tres pestañas y adivinar.

Observabilidad no es «mandar todo a un sitio». Son tres planos con reglas distintas que nacen de la misma request: los logs son de alto volumen y retención corta, los errores son pocos pero alertables, y la auditoría es inmutable y de retención larga. Confundirlos es el error clásico — guardar logs para siempre sale carísimo, y alertar sobre cada línea es ruido. Lo único que comparten es la llave.

Diagrama 01 Los tres planos con su volumen, su retención y su lector. Nacen del mismo request y solo comparten el request_id — que es exactamente lo que permite saltar de una línea de log al error y de ahí a la fila que quedó escrita.

El id se resuelve en un middleware de Nest, antes de los guards — no en un interceptor — porque un 401 o un 429 también necesitan id. pino-http lo genera o lo adopta del header entrante; el middleware lo mete en el AsyncLocalStorage junto con el sessionId de PostHog, y de ahí en adelante nadie pasa el id por parámetro: quien lo necesite llama a getCurrentRequestId(). DemoContextInterceptor sigue siendo el más externo.

Diagrama 02 El recorrido completo del request_id: entra por el header, lo genera pino-http, lo adopta el middleware en el ALS y lo consumen cuatro escritores distintos antes de volver al cliente por header y por cuerpo de error.

// stdout de Render · la misma línea se envía por OTLP a PostHog Logs
{"level":"info","time":"2026-08-23T14:07:12.481Z","service.name":"amedi-api","deployment.environment":"prod","request_id":"8f3c1d92-7b40-4e1a-9a55-2c6f0d3ba91e","sessionId":"0198f2c1-4d33-7a10-b6ec-9f2e5c1a77d0","userId":"c4a1b7e0-3f28-4d5b-8c11-77aa2e40b3d9","actingAsDoctor":null,"is_demo":false,"req":{"method":"POST","url":"/appointments"},"statusCode":201,"responseTime":142,"msg":"request completed"}

Llaves planas y en el nivel de arriba: request_id, no req.id.value — así se filtra igual en PostHog Logs, en los logs de Render y con grep. Ni el body ni los query params entran: el redact de pino tumba authorization, cookie, set-cookie y los campos del body con PHI antes de serializar.

El principio del dominio es tajante: instrumenta librerías compartidas, nunca aplicación por aplicación. Hoy hay tres implementaciones de lo mismo (client, consultorio y la API) y una app —el admin— sin nada. La respuesta es un paquete con puertos y adaptadores: el código de producto habla contra una interfaz y el adaptador lo elige el entorno. El admin entra gratis, y es a propósito el primer consumidor limpio: si el paquete le sirve sin bypasses, el paquete sirve.

Diagrama 03 Un solo camino de código hacia el puerto y tres adaptadores detrás, elegidos por entorno. Cambiar de proveedor —o apagarlo— es cambiar la factory, no las 4 aplicaciones.

El scrub es de Amedi, no genérico. A los patrones heredados de mogos se suman los que importan acá: cedula, /\bci\b/, diagnos, historia, phone, whatsapp y email fuera del identify.

Los 65 sitios que hoy llaman al Logger de Nest no se tocan. Se cambia el transporte, no la API: nestjs-pino se instala debajo con bufferLogs y useLogger(app.get(Logger)), y todas esas líneas salen en JSON con su request_id sin abrir 65 archivos. La misma línea se escribe dos veces, a la vez: a stdout —donde Render la recoge— y por OTLP a PostHog Logs.

Diagrama 04 El pipeline completo. El segundo destino está gated por una variable de entorno: sin ella la API sigue logueando a stdout exactamente igual, así que el rollout no puede romper el servicio.

Un error se pierde por tres razones: nadie lo capturó, se capturó sin contexto, o se capturó en una superficie que no reporta. Amedi tiene las tres. La matriz de abajo es el contrato: cada superficie con los mecanismos que le tocan, y ninguna celda vacía por olvido — las que quedan vacías es porque ese mecanismo no aplica ahí.

Qué hay detrás de cada columna. Filtro 5xx: el PosthogExceptionFilter existente, que gana tags.request_id, extra.$session_id y un mensaje saneado en el wire. Crons: TrackedCronService.runTracked(jobName, logger, fn) en los cuatro que hoy se tragan el error, con tags.job. process.on: unhandledRejection y uncaughtException en main.ts — loguean mensaje y stack (nunca el objeto), capturan, hacen flush y no matan el proceso. global-error: el boundary raíz de Next, con posthog-js directo porque a ese nivel los providers ya no existen — el bypass queda documentado en el propio archivo. error.tsx: por el puerto, vía ObservabilityErrorBoundary.

El replay y su masking, app por app

El trail que existe es bueno y tiene un techo conocido: vive en el $extends de Prisma, así que todo lo que no pasa por Prisma no deja rastro — createMany, updateMany, deleteMany, el SQL directo, los seeds y unos cien modelos sin instrumentar. La red de seguridad va donde nadie la puede saltar: en la base de datos, con triggers.

Diagrama 05 Las dos capas del trail y el endpoint que las lee. audit.enable_tracking(regclass) es idempotente y arranca sobre las once tablas con PHI ya instrumentadas más las de roles y permisos; un spec parsea schema.prisma para excluir las tablas con OTP o códigos vivos, que no deben dejar ni el nombre de la columna en un log de larga retención.

Cada fila es una bifurcación real con su camino descartado escrito al lado. Nada de esto es reversible barato una vez que hay datos escritos, así que queda por escrito antes de la primera migración.

Las fases no se agrupan por prioridad sino por superficie de verificación: cada una cierra cuando un comando concreto pasa, no cuando alguien dice que está lista. La dependencia real es la que manda — casi todo cuelga del request_id, así que la fase 2 es el cuello de botella.

Un proyecto de infraestructura crece solo si no se le pone borde. Estas cinco cosas no entran, y dos de ellas son fases posteriores del mismo dominio — no descartes.