El servicio está dirigido a organizaciones que desarrollan, operan o contratan aplicaciones web y APIs.

Es especialmente adecuado para:

• Empresas SaaS.
• Plataformas de comercio electrónico.
• Fintech, healthtech y empresas reguladas.
• Startups que van a lanzar un producto.
• Empresas que han realizado cambios importantes en su aplicación.
• Organizaciones que manejan datos personales o información sensible.
• Proveedores que deben demostrar controles de seguridad ante clientes.
• Equipos que necesitan validar el trabajo de desarrollo antes de pasar a producción.
• Empresas que nunca han realizado un pentest manual.

Qué incluye el pentest

El alcance se adapta a la aplicación, sus funcionalidades y el nivel de profundidad requerido.

Habitualmente incluye:

• Reunión inicial de alcance.
• Identificación de activos, dominios, APIs y entornos incluidos.
• Definición de reglas de ejecución y ventanas de trabajo.
• Pruebas con y sin autenticación.
• Análisis de autenticación y recuperación de cuentas.
• Revisión de sesiones, tokens y mecanismos de autorización.
• Pruebas de control de acceso horizontal y vertical.
• Análisis de roles y privilegios.
• Evaluación de entradas y validaciones.
• Pruebas sobre APIs REST, GraphQL u otros servicios expuestos.
• Revisión de configuración y exposición de información.
• Análisis de lógica de negocio.
• Validación manual de vulnerabilidades.
• Evaluación del impacto técnico y de negocio.
• Priorización de hallazgos.
• Reunión de presentación de resultados.

Las pruebas pueden alinearse con referencias reconocidas como OWASP Web Security Testing Guide y OWASP API Security Top 10, adaptándolas al contexto real de la aplicación. En The Hacker Way contamos con una metodología propia que nos ha permitido descubrir cientos de vulnerabilidades en las aplicaciones de nuestros clientes.

Qué no incluye

Salvo que se contrate expresamente, el servicio no incluye:

• Auditoría completa del código fuente.
• Pentesting de aplicaciones móviles.
• Auditoría de infraestructura interna.
• Pruebas de denegación de servicio.
• Ataques contra terceros o proveedores externos.
• Ingeniería social.
• Implantación de las correcciones.
• Monitorización continua después del proyecto.
• Garantía de ausencia absoluta de vulnerabilidades.

Una auditoría de seguridad reduce significativamente el riesgo, pero ningún análisis puede garantizar que un sistema permanecerá libre de vulnerabilidades ante futuros cambios.

Cómo trabajamos

1. Reunión de diagnóstico

Analizamos la aplicación, el objetivo del proyecto, los entornos disponibles y las necesidades del negocio.

2. Definición del alcance

Determinamos dominios, APIs, perfiles de usuario, funcionalidades críticas, limitaciones y reglas de ejecución.

3. Ejecución del pentest

Realizamos pruebas manuales y asistidas por herramientas especializadas, buscando vulnerabilidades técnicas y errores de lógica de negocio.

4. Validación y análisis de impacto

Verificamos cada hallazgo para descartar falsos positivos y determinar qué podría conseguir realmente un atacante.

5. Entrega del informe

Documentamos las vulnerabilidades, evidencias, pasos de reproducción, impacto y recomendaciones de corrección.

6. Presentación de resultados

Explicamos los riesgos al equipo técnico y, cuando sea necesario, a responsables de negocio o dirección.

7. Retest opcional

Comprobamos que las vulnerabilidades corregidas ya no pueden explotarse.

Entregables

Al finalizar el proyecto recibirás:

• Resumen ejecutivo orientado a dirección.
• Informe técnico completo.
• Clasificación y priorización de vulnerabilidades.
• Evidencias de cada hallazgo.
• Pasos para reproducir las vulnerabilidades.
• Evaluación del impacto técnico y de negocio.
• Recomendaciones de corrección.
• Tabla resumen para seguimiento.
• Reunión de presentación.
• Informe de retest, cuando se contrate esta fase.

Casos de uso habituales

Validación antes de un lanzamiento

Comprobar la seguridad de una aplicación o API antes de publicarla o abrirla a nuevos clientes.

Requisito de un cliente

Responder a una exigencia contractual o cuestionario de seguridad de un cliente importante.

Cambios relevantes en la aplicación

Validar una nueva arquitectura, sistema de autenticación, integración, API o funcionalidad crítica.

Preparación para una auditoría

Obtener evidencias técnicas antes de un proceso de certificación, due diligence o revisión de proveedores.

Incidente o sospecha de exposición

Analizar si una debilidad conocida podría ser explotada en la aplicación.

Pentest periódico

Revisar anualmente o después de cambios significativos el nivel de seguridad del producto.

Solicita un diagnóstico inicial

En una reunión de 30 minutos revisaremos:

• Qué activos deben incluirse.
• Qué tipo de pruebas necesita la aplicación.
• Qué perfiles y funcionalidades son prioritarios.
• Qué nivel de profundidad tiene sentido.
• Cuánto tiempo y presupuesto requiere el proyecto.