Siete estantes, ordenados por lo que necesitas. Si no sabes por dónde empezar, empieza por el primero: es gratis.
Gratis
Un sistema automático mira lo que tu empresa muestra en internet (dominio, correo y servidores) y te dice qué encontró, qué te puede costar y cómo arreglarlo.
Reconocimiento pasivo automatizado: DNS, SPF/DKIM/DMARC, TLS, tecnologías expuestas y CVE conocidas. Sin pruebas activas. Sin registro ves lo público; con un correo de tu dominio recibes todos los hallazgos con su arreglo y un resumen para dirección.
En minutos · Sin tarjeta de crédito.
Analizar gratisCalcula cuánto te costaría cada tipo de ataque, con las fuentes a la vista. Es una estimación y lo dice.
Modelo tipado con una fuente por cifra, rango típico y caso malo, y nivel legal por país. Estimación, no asesoramiento.
CalcularChequeos cortos que corres tú: tu correo, los encabezados de tu sitio, si tu chatbot se deja engañar y qué tan preparado estás para un ransomware.
SPF/DKIM/DMARC, cabeceras HTTP, claves de proveedores de IA en el JS público (dominio verificado), batería corta de inyección de prompts y cuestionario CIS IG1.
Sin pagar: si verificas tu dominio, lo revisamos una vez al mes y te escribimos solo si algo cambió. Si no tienes riesgos graves abiertos, puedes mostrar el sello «Monitoreado por LOP.run».
Plan gratis: re-chequeo pasivo mensual con dominio verificado (registro DNS TXT o email del dominio) y sello, sin página de confianza completa.
Encontrar
Sniff
Un Lop (así llamamos a cada especialista de nuestro equipo) estudia tu caso, habla 30 minutos contigo y te dice qué servicio necesitas, con precio cerrado.
Revisión humana del análisis pasivo, entrevista de 30 minutos y pruebas livianas no intrusivas con autorización firmada. Entrega: diagnóstico, servicio recomendado y presupuesto cerrado.
Un Lop intenta entrar a tus sistemas como lo haría un atacante, sin romper nada. Recibes un informe con cada problema, cuánto te puede costar y cómo cerrarlo. Cuando lo arreglas, volvemos a probar.
Pentest manual con autorización firmada y reglas de enfrentamiento. Cada hallazgo se confirma con una prueba de concepto, se puntúa con CVSS 3.1 y trae impacto económico y legal, solución y re-test.
Todas las auditorías incluyen
Dig
Para empresas con un sistema web: sitio, tienda online, gestor de contenidos o intranet. Por ejemplo, una tienda con su panel de administración. También revisamos tu correo y tus cuentas de Microsoft 365 o Google Workspace.
1 aplicación web (hasta 2 roles) con OWASP WSTG completo: inyecciones, XSS, IDOR, autenticación y sesiones, subida de archivos, CMS y plugins. Superficie externa hasta 10 hosts. DNS, TLS y SPF/DKIM/DMARC. Configuración de Microsoft 365 o Google Workspace (CIS).
1 a 2 semanas · Volvemos a probar durante 3 mesesRe-tests ilimitados por 3 meses
Rabbit Hole
Para empresas que funcionan sobre su propio software: tus clientes pagan, reservan u operan dentro, o tienes varias apps o una API. Por ejemplo, una fintech, un SaaS o un sistema de turnos. Incluye todo lo de la auditoría anterior.
Todo lo de Dig, más: hasta 3 aplicaciones o 1 plataforma, API REST o GraphQL (hasta ~80 endpoints, OWASP API Top 10), hasta 4 roles, lógica de negocio, aislamiento entre clientes, 1 cuenta de nube (CIS) y revisión de dependencias (SCA).
2 a 3 semanas · Volvemos a probar durante 6 mesesRe-tests ilimitados por 6 meses
Warren
Para empresas que necesitan revisar todo: lo anterior, más la red de tus oficinas, tus sistemas internos y los módulos que sumes. Se arma a medida y te damos el presupuesto antes de empezar.
Alcance a medida: varias plataformas, pentest de red interna y Active Directory con LOP BOX, segmentación y los módulos elegidos.
Desde 3 semanas · Volvemos a probar en el plazo que acordemosVentana de re-tests a medida
Cada precio cubre un alcance con límites claros. Si tu sistema es más grande, te damos un presupuesto cerrado antes de empezar. Nunca cobramos de más a mitad del trabajo.
Precio fijo por unidades de alcance (aplicaciones, roles, endpoints, hosts). Fuera de esos límites, cotización cerrada antes de firmar.
¿Dudas entre dos? El diagnóstico con un especialista te lo dice, y se descuenta del precio.
La mayoría se contrata sola. La aplicación web extra y la app móvil se suman a una auditoría. Cada uno tiene su precio.
Amplían el alcance de cualquier auditoría: OWASP MASVS para móvil, Solidity y EVM para contratos, CIS para firewall.
| Tu sitio web y tus servidoresDig | Tu plataformaRabbit Hole | Toda tu empresaWarren | |
|---|---|---|---|
| Sistemas webAplicaciones web (OWASP WSTG) | 1 | Hasta 3 | A medida |
| Tipos de usuarioRoles | 2 | 4 | A medida |
| Servidores expuestos a internetSuperficie externa: puertos y servicios | |||
| Que nadie mande correos en tu nombreSPF, DKIM y DMARC | |||
| Tus cuentas de Microsoft 365 o GoogleConfiguración de M365 o Workspace (CIS) | |||
| Conexiones entre sistemasAPIs REST y GraphQL (OWASP API Top 10) | |||
| Reglas del negocio: pagos, cupones, límitesLógica de negocio | |||
| Que un cliente no vea los datos de otroAislamiento entre clientes (multi-tenant) | |||
| Tu nubeConfiguración de nube (AWS, GCP, Azure) | |||
| Las librerías que usa tu softwareRevisión de dependencias (SCA) | |||
| La red de tus oficinas y sistemas internosRed interna y Active Directory | |||
| Duración | 1 a 2 semanas | 2 a 3 semanas | Desde 3 semanas |
| Volvemos a probarRe-tests | 3 mesesIlimitados, 3 meses | 6 mesesIlimitados, 6 meses | A medidaVentana a medida |
| Precio | US$4.500 | US$9.500 | desde US$15.000 |
Arreglar
Lop Fix
Un Lop arregla lo que encontramos, por hora o a precio cerrado. Cada arreglo se vuelve a probar antes de darlo por cerrado.
Remediación de configuración, parches, endurecimiento y código, con verificación posterior.
US$95/hora
mínimo US$150 Un arreglo corto se cobra US$150 aunque lleve menos tiempo. Si lleva más, se cobra por hora: US$95 cada una.
Vigilar
Una auditoría revisa un momento. Después las cosas cambian: un servidor nuevo, una falla publicada en un programa que usas, una contraseña subida por error a internet.
Monitoreo continuo de superficie externa: diferencias continuas de subdominios, puertos, servicios, TLS, DNS y correo. CVE y KEV nuevas sobre las tecnologías detectadas. Secretos en repositorios públicos.
Ears
Vigilamos todo eso las 24 horas y te avisamos por WhatsApp, Telegram o email. Ves el estado en tu panel, recibes un informe mensual y tienes una página de confianza para mostrar a tus clientes.
Escaneo automatizado continuo, 24/7. Alertas por WhatsApp, Telegram, email o Slack. Panel, informe mensual y página de confianza pública con estado e historial.
Cubre 1 dominio y hasta 50 servidores o subdominios.
1 dominio raíz, hasta 50 activos (hosts o subdominios).
US$149/mes
Ears + Lop
Lo mismo, pero una persona confirma cada aviso antes de que te llegue y te dice qué hacer. Volvemos a probar todo cada tres meses.
Revisión humana de cada alerta (sin falsos positivos en tu bandeja), recomendación de remediación y re-test trimestral.
Cubre 1 dominio y hasta 50 servidores o subdominios.
1 dominio raíz, hasta 50 activos (hosts o subdominios).
US$449/mes
Pago anual: 2 meses gratis. Ears: pagas US$1.490 por el año en lugar de US$1.788 (10 meses en vez de 12).Ears + Lop: pagas US$4.490 por el año en lugar de US$5.388 (10 meses en vez de 12).
Proteger al equipo
Hutch
Encontramos las puertas que usan las bandas y te decimos cuáles cerrar primero. Simulamos un ataque sin daño para ver si alguien lo detecta, restauramos tus copias de seguridad con cronómetro y practicamos el plan con tu dirección. Sabrás cuántos días aguantarías y cómo volver a operar antes.
Cuatro pilares. Prevenir: parches priorizados por KEV, MFA, endurecimiento de Active Directory y segmentación. Detectar: técnicas reales de atacante en forma benigna (Atomic Red Team), para medir si tu EDR alerta y cuánto tarda alguien en verlo. Resistir: copias inmutables y restauración real cronometrada. Recuperar: plan de respuesta y ejercicio de mesa con dirección.
No es un cuestionario: lo medimos con pruebas reales en tu red.
Resultado: puntaje por pilar, días estimados de resistencia y de recuperación, y hoja de ruta priorizada.
Para entrar a tu red instalas una máquina virtual de prueba. Se conecta con nosotros por un canal cifrado y la apagas cuando terminamos.
Acceso interno con LOP BOX: máquina virtual o mini PC con túnel saliente cifrado, sin abrir puertos de entrada. El apagado queda en tus manos.
3 a 4 semanas · Volvemos a medir a los 3 mesesRe-medición a los 3 meses
desde US$5.900
pago único
Whisker
Alguien se hace pasar por tu proveedor y te pide pagar a otra cuenta. Armamos con tu equipo de pagos cómo verificar cada cambio, lo practicamos y ponemos alertas en tu correo.
Procedimiento de verificación de cambios de cuenta de proveedores, capacitación del equipo de pagos y alertas técnicas: reglas de reenvío, inicios de sesión raros, dominios parecidos y DMARC en reject.
US$1.900
pago único · Hasta 50 personas.
Cheshire
Cinco cosas, con nombre: el mapa de la IA que usa tu equipo, una política de uso firmada, una capacitación contra voces y videos falsos, un simulacro con la voz clonada del dueño y una prueba de tu chatbot.
Inventario de IA en la sombra (apps OAuth y encuesta de 10 preguntas), política de uso de IA, sesión de 60 minutos con palabra clave, simulacro de voz clonada a hasta 10 personas con consentimiento escrito y prueba de inyección de prompts sobre el chatbot del sitio.
US$2.900
pago único · Hasta 50 personas. El pentest completo de un chatbot o agente con acceso a tus sistemas se suma como módulo.
Responder
Bounce
Si ya te atacaron: cortamos el daño, recuperamos tus cuentas y equipos, guardamos la evidencia y te decimos a quién tienes que avisar según la ley de tu país.
Contención, erradicación y recuperación de cuentas y equipos, evidencia con cadena de custodia y aviso a reguladores por jurisdicción.
US$190/hora
Mínimo US$1.520: el primer día (8 horas). Con Burrow, el primer día de un incidente por año corre por nuestra cuenta.
Todo junto
Burrow
Tu equipo de seguridad sin contratar uno: vigilancia con una persona, una auditoría de tu sitio y servidores al año, 6 horas de arreglos por mes y respuesta prioritaria. Si te atacan, el primer día corre por nuestra cuenta.
Ears + Lop, un Dig anual, 6 h/mes de Lop Fix, respuesta prioritaria y las primeras 8 h de Bounce en un incidente por año.
US$1.290/mes
Ahorras US$104 por mes frente a contratarlo por partes. Por partes: Ears + Lop US$449, un Dig por año (US$4.500 dividido en 12 meses: US$375) y 6 horas de Lop Fix US$570. Total: US$1.394 por mes.
Ves cada problema, en qué estado está su arreglo y los avisos de la vigilancia. Descargas tus informes y tu constancia. Cada persona elige verlo en modo negocio o técnico.
Hallazgos con severidad CVSS y estado de remediación, historial de re-tests, alertas del monitor, descarga de informes y exportación a Jira o GitHub. Modo negocio o técnico por usuario.
Los dos informes de una auditoría de ejemplo: uno para dirección y el técnico completo para tu equipo.
Ver los informes de ejemploUna persona de nuestro equipo de seguridad, con certificaciones verificadas, que firma lo que entrega. Usamos alias para proteger su privacidad. Si tu contrato lo exige, te damos sus datos bajo acuerdo de confidencialidad.
Un escáner, o un pentest hecho solo por IA, te da una lista de alertas, muchas falsas. Nosotros comprobamos cada hallazgo a mano, te decimos cuánto te puede costar y cómo cerrarlo, y un Lop firma el informe.
No. Trabajamos en una ventana de fechas y sobre un alcance que firmas antes, y no hacemos pruebas que tiren servicios ni borren datos.
Recibes igual el informe con todo lo que probamos y cómo, firmado por un Lop, y la constancia. Sirve como evidencia para tu aseguradora, tu auditor o un cliente que te la pida.
Cuéntanos qué tiene tu empresa y te decimos cuál te sirve. Si es la más barata, te lo decimos igual.