n8n para pymes: lo que aprendes cuando lo tienes en producción

Qué es n8n y por qué a una pyme le importa

n8n es una herramienta para conectar programas entre sí sin escribir código: cuando entra un pedido, que se cree la factura, se avise por WhatsApp y se apunte en la hoja de cálculo. Lo mismo que hace Zapier o Make, con una diferencia que decide casi todo: n8n puedes instalarlo en tu propio servidor.

Para una pyme eso importa por dos razones. La primera es el dinero: las herramientas en la nube cobran por operación, y una automatización que se dispara mil veces al día se convierte en una factura que crece sola. La segunda es dónde acaban tus datos: si automatizas facturación o mensajes de clientes, con n8n autoalojado esos datos no salen de tu servidor.

Lo que no es n8n: una varita. Automatizar un proceso que está mal definido solo consigue que el desorden vaya más rápido. Antes de conectar nada hay que poder escribir en una línea qué entra, qué sale y qué se decide en medio.

En la nube o en tu servidor: la cuenta real

La versión en la nube de n8n te quita el mantenimiento de encima a cambio de una cuota. La autoalojada cuesta lo que cueste el servidor, que para empezar es poco, pero el mantenimiento lo pones tú.

Esa diferencia engaña. El servidor barato es barato hasta el día que hay que actualizar, restaurar una copia o averiguar por qué un flujo dejó de dispararse. Si nadie va a hacer ese trabajo, sale más barata la nube aunque el recibo sea mayor.

La regla que uso: autoalojado si hay volumen o datos sensibles, nube si son cuatro automatizaciones y nadie va a mantener nada. Y en cuanto entran datos de clientes en la base de datos, autoalojado casi siempre.

El fallo que más caro sale: flujos duplicados

Este merece su propio apartado porque no lo cuenta nadie y tumba producción.

En n8n los flujos se copian con facilidad: duplicas uno para probar algo, lo dejas ahí, y meses después tienes cuatro versiones del mismo proceso. El problema aparece cuando esos flujos tienen un webhook, que es la URL por la que entra el aviso desde fuera. Si dos flujos declaran la misma ruta, activar el viejo secuestra la URL y el bueno deja de recibir.

Y no da error. El flujo bueno sigue ahí, encendido, con cara de estar funcionando. Simplemente no le llega nada, porque lo está recogiendo el otro. Te enteras cuando un cliente pregunta por qué no le ha llegado su confirmación.

En un servidor que llevo yo había 26 flujos de los que solo 6 hacían algo, y cuatro declaraciones distintas de la misma ruta de webhook. La limpieza no fue borrar por borrar: fue exportar los 26, listar qué ruta declaraba cada uno y dejar una sola por ruta.

• Exporta todos los flujos antes de tocar nada. Un JSON pesa nada y te salva de un borrado con prisa.
• Lista las rutas de webhook y busca repetidas. Ahí está el 90% de los sustos.
• Nombra los flujos por lo que hacen, no «copia de copia de pedidos».
• Un flujo que lleva meses desactivado no es una reserva: es basura que alguien encenderá.

La trampa de seguridad de los nodos de base de datos

Los nodos de Postgres y MySQL de n8n dejan escribir la consulta a mano, y ahí es donde casi todo el mundo mete un valor que viene de fuera pegándolo directamente en el texto de la consulta. Eso es una inyección SQL de manual: quien manda el aviso decide qué se ejecuta en tu base de datos.

Se agrava porque el nodo suele configurarse con la credencial que ya había a mano, que en un servidor recién montado es la de superusuario. Con esa combinación, un webhook público que no valida nada puede llegar a borrar tablas.

La solución no es complicada: usar los parámetros del nodo en vez de construir la consulta pegando texto, y darle a n8n un usuario de base de datos con permisos solo sobre lo que necesita tocar. Diez minutos de trabajo que evitan el día que no quieres tener.

Y los webhooks sin autenticación

Un webhook de n8n es una URL pública. Si no lleva autenticación, cualquiera que la acierte o la vea en un registro puede dispararlo. En un flujo que apunta pedidos, eso significa pedidos falsos entrando en la cocina de tu cliente.

Mucha gente confía en que la URL es larga y aleatoria. Eso no es seguridad: las URLs se filtran en capturas de pantalla, en historiales, en registros de servidores intermedios y en la barra del navegador de quien la probó una vez.

n8n trae autenticación por cabecera en el propio nodo de webhook. Y un aviso importante: si el que llama es un servicio de terceros, hay que configurarlo allí primero. Si activas la autenticación antes, dejas de recibir sin darte cuenta, que es exactamente el fallo silencioso del que hablábamos.

Qué automatizar primero en una pyme

Lo que más devuelve no es lo más vistoso. Es lo aburrido que pasa todos los días.

Un caso real que llevo funcionando: cuando alguien reserva una cita y no ha rellenado el formulario previo, n8n espera 30 minutos y avisa por correo. Es una automatización de nada, sin IA ni pantallas, y evita presentarse a una reunión sin saber de qué va.

• Avisos que hoy dependen de que alguien se acuerde.
• Copiar datos de un sitio a otro: del formulario a la hoja, de la hoja al correo.
• Documentos que se generan siempre igual: facturas, albaranes, resúmenes.
• Recordatorios de cita, que reducen las ausencias sin que nadie llame.
• Informes que alguien monta a mano cada lunes.

Qué NO automatizar

Un proceso que cambia cada semana no se automatiza: se estabiliza primero. Cada cambio obliga a tocar el flujo, y acabas dedicándole más tiempo del que ahorras.

Tampoco lo que ocurre tres veces al año. Ahí el cálculo no sale: montar y mantener cuesta más que hacerlo a mano esas tres veces.

Y desconfía de automatizar decisiones que necesitan criterio. n8n puede preparar la información y ponértela delante; que la decisión la siga tomando una persona no es un fallo del diseño, es el diseño.

Cuánto tarda y cuánto cuesta de verdad

Un flujo sencillo —un disparador, dos o tres servicios conectados, un aviso— se monta en unas horas. Lo que se lleva el tiempo no es construirlo: es entender el proceso, y sobre todo probar los casos raros. Qué pasa si el servicio de al lado no contesta. Qué pasa si el mismo aviso llega dos veces.

El coste que casi nadie cuenta es el mantenimiento. Las herramientas de terceros cambian sus conexiones sin avisar, y un flujo roto no da un error en pantalla: deja de trabajar en silencio. El día que te enteras es porque falta un pedido.

Por eso cualquier automatización que importe necesita dos cosas desde el primer día: un aviso cuando falla y alguien mirando que siga corriendo.