Cal.com pasa su producto principal a código cerrado por las amenazas de la IA al open source

Cal.com, uno de los actores open source más conocidos en la categoría de scheduling, pasa su versión comercial a código cerrado. El motivo no es un cambio de modelo de negocio como tal, sino un nuevo equilibrio de riesgos: la compañía considera que las herramientas de IA actuales han facilitado demasiado la búsqueda de vulnerabilidades en repositorios públicos y han hecho que el código abierto resulte demasiado costoso de proteger cuando se trata de los datos de los usuarios.

La empresa anunció la decisión el 15 de abril de 2026. El código de producción y el desarrollo futuro del producto comercial pasan a ser privados, mientras que el repositorio público se convierte en una rama comunitaria independiente llamada Cal.diy. Esta versión sigue siendo self-hosted y open source, pero ahora con licencia MIT en lugar de la AGPL anterior. Conserva el motor de agendas, la lógica de reservas, la app store y la API v2, es decir, todo lo que necesitan desarrolladores individuales y equipos pequeños para desplegarla por su cuenta.

De Cal.diy se retira lo que pertenece al servicio comercial gestionado y a los escenarios enterprise: organizaciones y equipos, routing forms, workflows automáticos, instant booking, AI phone, SAML/SSO, paneles analíticos, parte de las interfaces de administración y la antigua API v1. En la práctica, Cal.com divide el producto en dos trayectorias: una plataforma abierta para aficionados y autoalojamiento, y una versión de producción cerrada en la que la empresa asume la responsabilidad sobre los datos sensibles de los clientes. Dentro del equipo lo resumen sin rodeos: quieren ser una empresa de agendas, no una empresa de ciberseguridad.

El argumento de Cal.com gira en torno a la idea de que la IA cambia de forma radical la economía de la seguridad ofensiva. Antes, encontrar errores explotables exigía un investigador con experiencia y mucho tiempo manual; ahora los modelos y las herramientas con agentes pueden recorrer una base de código de forma sistemática, rastrear flujos de datos, buscar fallos en la lógica de negocio y montar rápidamente una prueba de concepto.

En una publicación de su propio blog, Cal.com cita pruebas de su socio Hex Security: en 28 empresas, sus agentes autónomos de pentest encontraron unas 2000 vulnerabilidades, de las cuales el 44,6 % eran críticas o de severidad alta, y en el 65,1 % de los escaneos apareció al menos un fallo crítico. En el mismo texto se cita un benchmark en el que el acceso al código fuente aumentaba la detección de vulnerabilidades en torno a un 20 % frente a una revisión de caja negra.

Como símbolo público de esta nueva realidad, la compañía menciona el caso del modelo de IA Mythos, que, según su versión, logró identificar una vulnerabilidad antigua en BSD y construir con rapidez un exploit funcional.

Cal.com no afirma que el código cerrado haga seguro un producto de forma automática. En su explicación oficial, la empresa reconoce abiertamente que no es una solución perfecta y que la seguridad por oscuridad no salva por sí sola. Pero para un servicio que maneja datos de reuniones, calendarios y reservas, incluso una pequeña reducción de la probabilidad de una auditoría masiva por parte de atacantes parece justificada. Al mismo tiempo, el equipo promete mantener parches de seguridad en ambos sentidos entre el producto cerrado y Cal.diy, y dice que le gustaría volver algún día al formato abierto si el panorama de amenazas se vuelve más manejable.

Es un giro especialmente llamativo, porque Cal.com construyó su marca precisamente como alternativa open source a Calendly y no ocultaba que veía en el código abierto una fuente de crecimiento. Según la dirección, con otra configuración de riesgos la empresa habría preferido seguir en el modelo anterior. Es decir, no se trata de una ruptura total con la comunidad, sino de un intento de separar las partes experimental y comercial del producto en distintos perímetros de seguridad.

La conclusión principal va más allá del destino de una sola empresa. La historia de Cal.com muestra que la IA no cambia solo el desarrollo, sino también el propio contrato social del open source: la transparencia sigue ayudando a los defensores, pero ahora escala igual de bien el trabajo de los atacantes. Para los productos open source comerciales, esto puede significar una elección dolorosa entre la ideología de la apertura y la obligación de reducir el riesgo para los clientes. Cal.com es la primera en tomar esa decisión de forma tan demostrativa, y por eso su caso importa a toda la industria.