Pentest · Aplicaciones web y APIs

Pentest web y de APIs

Tu sitio, tu portal de clientes, tu app y las APIs que los conectan son la puerta de entrada más común. Los probamos como lo haría un atacante, con foco en lo que se puede explotar de verdad.

Desde 10 UF + IVA · 1 aplicación web o API de alcance acotado. Informe ejecutivo y técnico con CVSS, reunión de cierre y re-test incluido. Ver precios

Qué revisamos

Autenticación: contraseñas, MFA, recuperación de cuenta y manejo de sesiones.
Autorización: que un usuario no pueda ver ni modificar datos de otro (BOLA/IDOR) ni escalar privilegios.
Inyecciones (SQL, comandos, plantillas) y XSS.
Lógica de negocio: pagos, descuentos, flujos que se pueden saltar.
APIs REST y GraphQL según OWASP API Security Top 10: exposición excesiva de datos, falta de límites de uso, endpoints olvidados.
Configuración: cabeceras de seguridad, TLS, CORS, manejo de errores y archivos expuestos.

Cómo lo hacemos

01Alcance y reglas. Definimos por escrito qué se prueba (dominios, aplicaciones, APIs, IPs, cuentas cloud), con qué usuarios y roles, en qué horario, qué queda fuera y a quién llamar si algo se ve afectado. Sin autorización firmada no se toca nada.
02Reconocimiento. Mapeamos la superficie expuesta: subdominios, servicios, versiones, endpoints, flujos de autenticación y dependencias de terceros.
03Análisis y explotación controlada. Combinamos herramientas automáticas con pruebas manuales. Confirmamos cada hallazgo explotándolo de forma controlada, sin borrar ni alterar datos y sin pruebas de denegación de servicio salvo que se acuerden.
04Clasificación. Cada hallazgo lleva severidad con CVSS, impacto en tu negocio, evidencia reproducible y la recomendación concreta para corregirlo.

Qué recibes

Informe ejecutivo: riesgo general, hallazgos críticos y prioridades, en lenguaje de negocio.
Informe técnico: cada hallazgo con severidad CVSS, evidencia, pasos para reproducirlo y recomendación.
Plan de remediación priorizado por riesgo y esfuerzo.
Reunión de cierre con tu equipo técnico.
Re-test incluido: volvemos a probar los hallazgos corregidos para confirmar que quedaron cerrados.

FAQ

Preguntas frecuentes

¿Necesitan usuarios de prueba?

Recomendamos caja gris: con al menos dos usuarios por rol podemos probar autorización entre cuentas, que es donde suelen estar los hallazgos más graves.

¿Prueban en producción?

Se puede, con reglas acordadas. Si existe un ambiente de preproducción equivalente, suele ser la mejor opción para las pruebas más invasivas.

¿Lo vemos en tu caso?

Una conversación inicial sin costo para entender tu contexto y decirte si podemos ayudar.