Aplicación web extra
Otra aplicación web en la misma auditoría
¿Tienes un portal de clientes, un panel interno o una segunda app además de tu sitio? La sumamos a tu auditoría y la probamos igual: a mano, con cuentas reales y cada arreglo verificado.
Pentest manual autenticado de una aplicación web adicional (OWASP WSTG y ASVS): control de acceso, sesión, lógica de negocio e inyecciones, con prueba de concepto por hallazgo y revisión de un segundo Lop.
- Duración
- Suma cerca de 1 semana
- Inicio
- Junto con la auditoría
desde US$2.500
Se suma a Dig, Rabbit Hole o Warren. Re-tests: los mismos de la auditoría a la que se suma.
Sumar una app¿Ya firmaste la auditoría? Puedes sumar la app antes de que empecemos.
Es para ti si
- Además de tu sitio tienes otra app con su propio login: portal de clientes, panel de socios o sistema de turnos.
- Esa app la hizo otro equipo o tiene su propio código.
- Ya vas a hacer Dig, Rabbit Hole o Warren y quieres cubrirla en la misma auditoría.
Qué revisamos
Que nadie pueda entrar con la cuenta de otro ni quedarse con una sesión abierta.Autenticación, recuperación de contraseña, gestión de sesión y tokens.
Que las reglas de tu negocio no se puedan saltear: precios, cupones, límites, pasos.Lógica de negocio: manipulación de parámetros, condiciones de carrera y flujos fuera de orden.
Que no se pueda meter código por un formulario o un archivo subido.Inyecciones (SQL, XSS, plantillas), subida de archivos y SSRF.
Cómo trabajamos
Con el alcance
Alcance
Nos dices qué app es y nos das 2 cuentas de prueba por tipo de usuario.
La app entra en la misma autorización firmada; 2 cuentas por rol, hasta 2 roles.
Durante la auditoría
Prueba
La probamos a mano como al resto. Si algo es grave, te avisamos el mismo día.
Pentest manual autenticado; aviso el mismo día ante un hallazgo crítico.
Al cierre
Informe
Sus hallazgos van en el mismo informe, separados para que sepas qué es de cada app.
Sección propia en los informes técnico y ejecutivo de la auditoría.
Qué recibes
- Los hallazgos de esa app, con cuánto te puede costar cada uno.
- Hallazgos con severidad CVSS, prueba de concepto e impacto en dinero.
- Cómo arreglar cada uno, paso por paso.
- Remediación por hallazgo para tu equipo o tu proveedor.
- Cada arreglo probado de nuevo.
- Re-tests con el mismo plazo que la auditoría.
Ver un informe de ejemploLímites del alcance
Incluye
- 1 app con su propio login o su propio código.1 aplicación web adicional (login o base de código propios).
- Hasta 2 tipos de usuario (por ejemplo, cliente y administrador).Hasta 2 roles autenticados.
No incluye
- No se contrata solo: va sumado a Dig, Rabbit Hole o Warren.Módulo de una auditoría; no se vende por separado.
- Un subdominio que usa el mismo login y el mismo código no cuenta como app extra: ya entra en la auditoría.Mismo login y misma base de código = mismo activo.
- No arreglamos el código: eso lo puede hacer Lop Fix.Sin remediación; disponible con Lop Fix.
¿Más de 2 tipos de usuario o una app muy grande? Te pasamos el precio cerrado antes de firmar.
Preguntas antes de contratar
¿Cómo sé si mi app cuenta como extra?
Si tiene su propio login o la hizo otro equipo con otro código, cuenta. Si es parte del mismo sitio con el mismo login, no. Ante la duda, lo vemos juntos antes de firmar.
¿Por qué no se contrata solo?
Porque la auditoría ya revisa el servidor y la nube donde vive la app. Sola, quedaría afuera lo que más se rompe. Si quieres auditar una sola app, Dig es eso.
¿Tienes más de una app?
Súmala a tu auditoría y recibe todo en un solo informe, con cada arreglo verificado.