Actualizo la app

README.md

@@ -201,8 +201,14 @@ Variables principales:
 - `ORACULO_RATE_LIMIT_REQUESTS`
 - `ORACULO_RATE_LIMIT_WINDOW_SECONDS`
 - `ORACULO_MAX_REQUEST_SIZE_BYTES`
+- `ORACULO_DOCS_ENABLED`
+- `ORACULO_SECURITY_HEADERS_ENABLED`
 
-Toma como base el archivo `.env.example`.
+Uso recomendado por entorno:
+
+- Local: crea un archivo `.env` en la raíz del proyecto.
+- Hugging Face Spaces: configura estas variables desde `Settings > Variables and secrets`.
+- Producción tradicional: usa variables de entorno del proveedor, no hardcodes secretos en el repositorio.
 
 ## Ejecución local
 
@@ -242,7 +248,7 @@ venv\Scripts\pytest -q
 
 Estado actual de la suite:
 
-- `33 passed`
+- `35 passed`
 
 ## Despliegue en Render
 
@@ -286,6 +292,7 @@ Pasos:
 - `ORACULO_SEED_ADMIN_EMAIL`
 - `ORACULO_SEED_ADMIN_PASSWORD`
 - `ORACULO_ALLOWED_HOSTS`
+- `ORACULO_DOCS_ENABLED=true`
 
 5. Si quieres persistencia real para SQLite, usa almacenamiento persistente y define:
 
@@ -299,9 +306,60 @@ Notas importantes para Spaces:
 
 - Swagger abrirá en `/docs` porque el Space usa `base_path: /docs`.
 - El contenedor escucha en `7860`, que es el puerto esperado por el Space.
+- El `Dockerfile` arranca con `alembic upgrade head` y luego `uvicorn app.main:app --host 0.0.0.0 --port 7860`.
+- No necesitas un archivo `.env` dentro del Space si ya definiste las variables en `Settings > Variables and secrets`.
 - Si quieres ocultar Swagger más adelante, cambia `ORACULO_DOCS_ENABLED=false`.
 - El modelo `pipeline_produccion.pkl`, `adult.csv` y el código backend deben permanecer en el repositorio o en el contexto del contenedor.
 
+### Troubleshooting en Spaces
+
+#### El contenedor arrancó, pero el `App` tab dice "ha rechazado la conexión"
+
+Si en los logs ves algo como esto:
+
+- `Uvicorn running on http://0.0.0.0:7860`
+- `GET /docs HTTP/1.1" 200`
+
+entonces el contenedor sí arrancó bien y el problema no suele ser el `Dockerfile`.
+
+La causa más común en este proyecto era de seguridad de embebido:
+
+- Hugging Face renderiza el `App` tab dentro de un `iframe`.
+- Si la API responde con `X-Frame-Options: DENY` o `Content-Security-Policy` con `frame-ancestors 'none'`, el navegador bloquea la interfaz aunque `/docs` responda `200`.
+
+La versión actual del proyecto ya quedó ajustada para ese escenario:
+
+- mantiene headers estrictos para tráfico normal
+- permite embebido únicamente cuando la petición llega desde `*.hf.space`
+- conserva Swagger funcional en `/docs`
+
+Checklist rápida cuando pase esto:
+
+1. Abre primero la URL directa del Space, por ejemplo `https://tu-space.hf.space/docs`.
+2. Si la URL directa carga y el `App` tab no, haz `Factory reboot` del Space.
+3. Verifica que tu Space realmente tenga la última versión del repositorio.
+4. Revisa que `ORACULO_ALLOWED_HOSTS` incluya `*.hf.space,*.huggingface.co`.
+5. Confirma que `ORACULO_DOCS_ENABLED=true` si quieres exponer Swagger.
+
+#### No tengo `.env` en Hugging Face
+
+Eso es normal.
+
+- En Spaces no necesitas subir `.env`.
+- Hugging Face inyecta variables y secretos desde la configuración del Space.
+- Localmente sí puedes usar `.env` para desarrollar.
+
+#### SQLite se reinicia sola en Spaces
+
+Eso también es normal si no configuraste almacenamiento persistente.
+
+- Sin volumen persistente, la base local es efímera.
+- Si quieres conservar usuarios, historial y seeds entre reinicios, usa `/data` y configura:
+
+```bash
+ORACULO_DATABASE_URL=sqlite:////data/oraculo.db
+```
+
 ## Qué falta para una versión todavía más dura
 
 Si quieres llevarla más arriba todavía, las siguientes mejoras son naturales:

app/core/config.py

@@ -1,11 +1,12 @@
 from __future__ import annotations
 
+import json
 from functools import lru_cache
 from pathlib import Path
-from typing import Literal
+from typing import Annotated, Literal
 
 from pydantic import Field, field_validator
-from pydantic_settings import BaseSettings, SettingsConfigDict
+from pydantic_settings import BaseSettings, NoDecode, SettingsConfigDict
 
 
 class Settings(BaseSettings):
@@ -41,7 +42,7 @@ class Settings(BaseSettings):
     jwt_algorithm: str = "HS256"
     access_token_expire_minutes: int = 60
 
-    allowed_hosts: list[str] = Field(
+    allowed_hosts: Annotated[list[str], NoDecode] = Field(
         default_factory=lambda: [
             "localhost",
             "127.0.0.1",
@@ -50,7 +51,7 @@ class Settings(BaseSettings):
             "*.huggingface.co",
         ]
     )
-    cors_allow_origins: list[str] = Field(
+    cors_allow_origins: Annotated[list[str], NoDecode] = Field(
         default_factory=lambda: ["http://localhost:3000", "http://127.0.0.1:3000"]
     )
 
@@ -58,7 +59,7 @@ class Settings(BaseSettings):
     rate_limit_enabled: bool = True
     rate_limit_requests: int = 60
     rate_limit_window_seconds: int = 60
-    rate_limit_exempt_paths: list[str] = Field(
+    rate_limit_exempt_paths: Annotated[list[str], NoDecode] = Field(
         default_factory=lambda: [
             "/",
             "/docs",
@@ -80,6 +81,11 @@ class Settings(BaseSettings):
             return value
         if not value:
             return []
+        normalized_value = value.strip()
+        if normalized_value.startswith("["):
+            parsed_value = json.loads(normalized_value)
+            if isinstance(parsed_value, list):
+                return [str(item).strip() for item in parsed_value if str(item).strip()]
         return [item.strip() for item in value.split(",") if item.strip()]
 
     @property