Pentesting
Pruebas de intrusión manuales hechas por personas, no escáneres con otro logo. Encontramos la vulnerabilidad, demostramos el impacto y le decimos exactamente cómo cerrarla.
- Aplicaciones web y API
- Móvil
- Cloud
- Infraestructura interna
- de media desde el kick-off al informe
- 2 sem
- de media desde el kick-off al informe
- de hallazgos con prueba de concepto
- 100 %
- de hallazgos con prueba de concepto
- gratuito incluido en cada proyecto
- Retest
- gratuito incluido en cada proyecto
En detalle
Pruebas manuales hechas por personas, no un escáner con logo.
Un escáner automático encuentra lo evidente. Los fallos que acaban en brecha suelen estar en la lógica: un usuario que ve las facturas de otro cambiando un número en la URL, un descuento que se aplica dos veces o una API que confía en lo que le dice el móvil.
Nuestros pentesters siguen OWASP WSTG, MASTG y PTES, pero sobre todo piensan como un atacante con su modelo de negocio delante. Cada hallazgo llega con una prueba de concepto reproducible, el impacto explicado en lenguaje claro y la corrección concreta para su stack.
Al terminar, su equipo corrige y nosotros volvemos a probar sin coste para confirmar que cada vulnerabilidad está cerrada. Ese retest es lo que pedirá su auditor o su cliente enterprise.
Casos reales
Hallazgos típicos que un escáner no ve.
IDOR en la API de facturación
Cambiando un identificador numérico, un cliente podía descargar las facturas de cualquier otro. 40.000 documentos expuestos con nombre, NIF y dirección.
Bucket público en producción
Un almacenamiento de copias de seguridad era accesible sin autenticación. Contenía un volcado completo de la base de datos de usuarios.
Token sin caducidad en la app
La app móvil guardaba un token de sesión eterno sin cifrar. Con acceso al teléfono, cualquiera podía operar en la cuenta indefinidamente.
Qué recibe
Todo lo que necesita para corregir y demostrarlo.
- Resumen ejecutivo con nivel de riesgo global
- Detalle técnico de cada hallazgo con prueba de concepto
- Recomendación de corrección específica para su tecnología
- Llamada de cierre con su equipo de desarrollo
- Retest y actualización del informe
- Carta de atestación firmada
Cómo trabajamos
Elija el alcance que necesita.
Aplicación
Una web, API o app móvil concreta.
- 5 a 10 días
- Caja gris con usuarios de prueba
- Ideal antes de un lanzamiento
- Más elegido
Plataforma
Producto completo: web, API, móvil y cloud.
- 2 a 4 semanas
- Revisión de configuración cloud
- Válido para ISO 27001 y SOC 2
Continuo
Pruebas en cada release importante durante el año.
- Bolsa de días anual
- Prioridad en calendario
- Panel de hallazgos en vivo
Seguridad ofensiva
Qué incluye
- 01
Aplicaciones web y API
OWASP Top 10, lógica de negocio, autenticación, autorización y abuso de APIs.
- 02
Móvil
iOS y Android: almacenamiento, tráfico, ingeniería inversa y protecciones en tiempo de ejecución.
- 03
Cloud
AWS, Azure y GCP: identidades, configuraciones, Kubernetes y rutas de escalada.
- 04
Infraestructura interna
Active Directory, segmentación, servicios expuestos y bases de datos.
Pentesting
Cómo trabajamos
- 1
Alcance
Acordamos activos, ventanas y entornos en una llamada de 30 minutos.
- 2
Pruebas
Pentesters certificados (OSCP, OSCE³, CRTO) atacan manualmente.
- 3
Informe
Hallazgos priorizados por riesgo real y guía de corrección paso a paso.
- 4
Retest
Verificamos cada corrección y emitimos la carta de confirmación.
FAQ
Preguntas frecuentes
¿Necesito parar producción?
No. Podemos trabajar en preproducción o en producción con ventanas controladas.
¿Me sirve el informe para auditorías?
Sí. Lo aceptan auditores de ISO 27001, SOC 2, PCI DSS y ENS.
¿Necesitan acceso al código fuente?
No es obligatorio. Con acceso de caja gris (usuarios de prueba y documentación de la API) cubrimos la mayoría de riesgos. Si nos da el código, podemos revisar zonas críticas con más profundidad.
¿Pueden probar en producción?
Sí, con cuidado y ventanas acordadas. Aun así recomendamos un entorno de preproducción lo más parecido posible.
¿Cuánto tardan en empezar?
Normalmente en 1 o 2 semanas desde la firma. Para urgencias antes de una auditoría podemos empezar en días.
También le puede interesar
Siguiente paso
¿Hablamos de su caso?
30 minutos con un socio, no con un comercial. Sin compromiso.