JavaScript está perdiendo espacio en el sistema.

La mayoría de las personas piensan que Internet funciona gracias a los servidores. Pero ya no es así. Internet funciona gracias a JavaScript, y JavaScript está llegando a su límite de capacidad.

La página web mediana ahora pesa…2.6 megabytes en el escritorio.Eso representa un aumento cinco veces mayor en quince años. Solo el JavaScript representa más de 600 kilobytes de ese volumen. El año pasado, JavaScript se convirtió en el tipo de recurso más solicitado. La página que está dentro del 90% de los sitios web, plataformas de comercio electrónico y empresas de medios, pesa más de 11 megabytes. Un artículo del New York Times recientemente ocupó todo ese espacio.49 megabytes en 422 solicitudes de red..

Lo que llama la atención no es el tamaño del archivo. Lo importante es lo que significa ese tamaño. El texto real del artículo, en esos 49 megabytes, probablemente está por debajo de un megabyte. Lo demás son marcos de interfaz de usuario, scripts de seguimiento, banners de consentimiento, anuncios, widgets de chat y el código que los conecta todos. Probablemente estuviste leyendo una noticia. La red transmitió lo equivalente a un álbum de MP3.

Esto no es un accidente de una mala ingeniería. Es el resultado inevitable de una monocultura.

Toda empresa que envía productos en línea utiliza JavaScript. No “la mayoría de las empresas”, sino todas ellas. Si quieres llegar al público más amplio posible con el menor esfuerzo de implementación, existe una sola lengua, un único registro de paquetes y un conjunto de herramientas predeterminado. En 2025, npm registró aproximadamente 9.8 billones de descargas. Más del 99% de todos los malware de código abierto identificados ese año se encontraban en npm. El ecosistema de JavaScript es, al mismo tiempo, la infraestructura más importante en Internet y también la más vulnerable.

La contradicción es que la monocultura hace que los problemas relacionados con JavaScript sean inevitables. El peso del código aumenta, ya que cada desarrollador depende de las dependencias de otros desarrolladores. Un sitio web de comercio electrónico típico carga más de 30 módulos npm; cada uno de ellos incluye su propia cadena de dependencias. Un framework básico de React puede generar entre 150 y 200 kilobytes de código antes de que se escriba una sola línea de código propio. En un teléfono Android con presupuesto limitado, procesar 450 kilobytes de código JavaScript comprimido representa una carga considerable.De 225 a 360 milisegundos de tiempo en la CPU.Solo para poder compilar el código, antes de que se ejecute cualquier parte del mismo. En un teléfono más económico, eso se duplica. Un retraso de 100 milisegundos en la carga de la página puede reducir las tasas de conversión en un 7%. Se trata de un problema relacionado con los ingresos, pero que parece ser un problema de rendimiento.

La crisis de seguridad es la misma monocultura, pero vista desde otro ángulo. En el último año, el modelo de amenazas ha pasado de los criminales oportunistas a los operadores patrocinados por el estado. En junio de 2026, un grupo norcoreano llamado Sapphire Sleet logró comprometer el framework de agentes de IA Mastra en 19 minutos. Publicaron una dependencia maliciosa y repudiaron más de 140 paquetes para obtener información sobre las carteras de criptomonedas y las credenciales en la nube. En mayo, otra campaña afectó 373 versiones de 169 paquetes de TanStack, lo que representa aproximadamente 520 millones de descargas semanales. Un día antes, 639 versiones maliciosas de 323 paquetes de AntV fueron publicadas en una hora. El tema común es el uso del npm.PostinstalaciónEl “hook” ejecuta el código automáticamente cuando se instala un paquete. Nadie tiene que hacer clic en nada. Es como una cadena de suministro: el mecanismo de entrega se ejecuta antes de que abra la caja.

Entonces, ¿qué le pasa a las empresas que te venden una forma de sobrevivir a la monocultura?

Cloudflare es el ejemplo más claro de esto. Su negocio se basa en la idea de que Internet es demasiado lento y inseguro para ser gestionado por los propios servidores de los usuarios. El CDN, la protección contra ataques DDoS, el cálculo en la periferia, las redes de confianza nulas… todo esto constituye infraestructura que adquiere mayor valor a medida que la web se vuelve más compleja y expuesta. Los ingresos en el segundo trimestre de 2026 fueron significativos.$696 millones, un aumento del 36% en comparación con el año anterior.Supera en aproximadamente 665 millones de dólares el estimado consensuado. Las obligaciones de rendimiento restantes, que representan los ingresos futuros acordados, aumentaron un 35%. La empresa ahora cuenta con más de 4.1 mil millones de dólares en efectivo y espera obtener ingresos por valor de 2.86–2.87 mil millones de dólares durante todo el año. Se trata de un crecimiento acelerado, no desacelerado.

Pero lo que la mayoría de las personas pasa por alto en la valoración de Cloudflare es este detalle. Las acciones se negocian a un precio de aproximadamente 48 veces los ingresos históricos. No importa cuán rápido crezca la empresa, ese multiplicador requiere que el crecimiento continúe y acelerarse, para finalmente convertirse en una rentabilidad sostenible. La empresa reporta un margen operativo cercano al 14%, lo cual está bien. Pero en el segundo trimestre, el déficit operativo según los criterios GAAP fue de 205 millones de dólares, lo que representa casi el 30% de los ingresos, debido a las compensaciones basadas en acciones. El mercado está interesado en la historia de la infraestructura, pero no en los resultados financieros reales.

Las calificaciones totales de AInvest indican que el valor de la acción es “comprar”. Las calificaciones compuestas y fundamentales están en el nivel más alto. Eso es lo que se espera de una empresa que crece un 36% en una categoría donde todos están comprando. La opinión general es positiva, ya que la tendencia general es innegable. Pero esa tendencia general ocurre cuando uno es como un carretero en una carretera que cada año se vuelve más ancha, ruidosa y propensa a accidentes.

La forma de pensar sobre la tesis de Cloudflare no es si la empresa logra cumplir sus objetivos. Lo importante es si la monocultura del JavaScript puede seguir expandiéndose sin provocar un desastre.

Existen tres posibles resultados.

La primera situación es benigna: la web sigue creciendo, sigue siendo atacada constantemente, y las empresas como Cloudflare tienen que pagar para manejar todo ese caos. Este es el escenario básico en el que se asume que funciona actualmente. Se necesita que la dominancia de JavaScript sea auto-reforzada: los costos de cambiar de ecosistema npm son mayores que el dolor de vivir dentro de él. Para la mayoría de las empresas, así es. La alternativa a npm no es un ecosistema mejor; es construir uno propio. La alternativa a JavaScript no es Python o Go en el cliente; es WebAssembly. Pero eso aún no es una solución. Está lejos el momento en que el 95% de los sitios que no necesitan sus ventajas de rendimiento puedan utilizarlo.

El segundo resultado es la necesidad de tomar medidas. La “inflación” del código se vuelve insoportable, hasta el punto en que los navegadores o motores de búsqueda comienzan a imponer restricciones. Google ya castiga las lentitud en los Core Web Vitals, y hay rumores de que se implementarán restricciones más estrictas por parte del cliente. Una vulnerabilidad en React Server Components en 2025 demostró que JavaScript ha penetrado tan profundamente en la infraestructura empresarial, que un error en el nivel del framework puede dañar los sistemas de producción a nivel arquitectónico. Si la industria responde restringiendo la ejecución de JavaScript, aplicando contenedores de seguridad a los scripts de instalación por defecto, o requiriendo verificación de origen para todas las dependencias, entonces la monocultura se romperá. Esto sería doloroso para todos los desarrolladores del mundo. Pero también podría ser positivo para Cloudflare, que así se convertiría en el sistema de control para cualquier nueva restricción que surja.

El tercer resultado es aquel que nadie puede predecir. JavaScript no se colapsa. No sobrevive de manera estable. Se divide en dos ecosistemas: uno para la infraestructura de alta seguridad (con restricciones, auditorías, movimientos más lentos), y otro para la web para consumidores (rápido, flexible, pero siempre en riesgo). Cloudflare sería como una carretera de peaje en ambas carreteras; pero la economía de seguridad de la infraestructura dominaría el panorama comercial. Eso es un negocio mejor de lo que la empresa actual imagina, porque los contratos de seguridad empresarial pagan mejor que el ancho de banda del CDN.

Presumo que el tercer resultado sea lo más probable. La evidencia está en los patrones de ataque. Los actores estatales no atacan JavaScript porque les guste; lo hacen porque todo lo importante funciona en él. Cuando los paquetes más descargados se convierten en “armas”, las empresas que los utilizan dejan de considerar la seguridad como algo opcional y comienzan a tratarla como una exigencia de gobernanza. Cloudflare ya está preparándose para ese cambio: su reciente decisión de unificar Workers AI y AI Gateway en un único sistema de control, es una forma de convertirse en el punto clave para el enrutamiento del tráfico de IA, la observabilidad y el control de acceso. Ya no vende ancho de banda; vende gobernanza.

La prueba para esta perspectiva es simple. Observen lo que sucede cuando los navegadores comienzan a aplicar un control más estricto sobre el JavaScript, o cuando npm decide desactivar los scripts relacionados con el ciclo de vida del código. Si el crecimiento de Cloudflare se mantiene por encima del 30% durante ese proceso, entonces la teoría de la monocultura está equivocada. Se trata de una teoría de gobernanza, y la compañía está en una posición adecuada para desempeñar un papel más específico, pero también más rentable. Si el crecimiento disminuye y las ganancias no aumentan, entonces el precio actual de la acción solo será válido mientras el JavaScript continúe su expansión sin obstáculos.

La forma en que la mayoría de las personas evalúan a Cloudflare es comprobar si superó las expectativas de ingresos y si los objetivos establecidos se lograron. Ambas cosas fueron ciertas este trimestre. Pero esa no es una forma correcta de pensar sobre ello. Es simplemente un análisis insuficiente. La pregunta no es si Cloudflare crecerá, sino si lo hace porque la web lo necesita o porque no hay otra opción. Esos no son lo mismo.