Un escáner gratis mira si la puerta existe. Un Lop prueba si se abre: con cuentas reales, a mano, y juntando fallas chicas que por separado parecen nada y juntas cuestan caro.
Los escáneres automáticos detectan firmas conocidas. Control de acceso, lógica de sesión y cadenas de fallas solo aparecen con pruebas manuales autenticadas. Cada hallazgo se confirma con una prueba de concepto y lo revisa un segundo Lop.
1Sistemas webAplicaciones web (OWASP WSTG)
Que nadie entre con la cuenta de otro: contraseñas, recuperación de clave y sesiones.
Autenticación, recuperación de cuenta, gestión de sesiones y doble factor.
Que nadie pueda meter código o comandos por un formulario, un buscador o una dirección web.
Inyección SQL, NoSQL, de comandos y de plantillas; XSS reflejado, almacenado y en el DOM.
Que no se puedan subir archivos peligrosos disfrazados de foto o de PDF.
Subida de archivos: tipo, contenido, nombre, ruta y ejecución en el servidor.
Que tu sitio no pueda usarse para engañar a tus visitantes ni para llegar a tus sistemas internos.
CSRF, redirecciones abiertas, SSRF, clickjacking y CORS mal configurado.
Archivos y páginas olvidadas: copias de seguridad, paneles de prueba, versiones viejas.
Descubrimiento de contenido: backups, .git y .env expuestos, entornos de prueba y endpoints sin enlazar.
Que un error en pantalla no muestre datos internos, claves o código.
Manejo de errores, trazas, claves en el código del navegador y fugas de información.
Plugins, temas y programas del sitio con fallas ya conocidas.
Componentes con CVE conocidas: CMS, plugins, temas y librerías JavaScript.
Que los datos de tus clientes viajen protegidos y no queden a la vista en el navegador.
Cookies (Secure, HttpOnly, SameSite), cabeceras de seguridad, CSP y datos sensibles en el cliente.
Que nadie pueda probar miles de contraseñas o llenar tus formularios con un robot.
Límites de intentos, enumeración de usuarios, captcha y protección contra automatización.
2Tipos de usuarioRoles
Que un usuario no vea los pedidos, facturas o datos de otro usuario.
Control de acceso horizontal (IDOR) en vistas, descargas, exportaciones y llamadas internas.
Que un usuario común no llegue a funciones de administrador.
Escalada vertical de privilegios y funciones administrativas sin control.
Que lo que se oculta en pantalla también esté cerrado por detrás.
Autorización validada en el servidor, no en el navegador; parámetros y campos ocultos manipulados.
Servidores expuestos a internetSuperficie externa: puertos y servicios
Todo lo tuyo que está abierto a internet, incluso lo que nadie recuerda.
Descubrimiento de subdominios (DNS y registros de certificados), puertos y servicios.
Paneles, bases de datos o accesos remotos que no deberían verse desde afuera.
Servicios administrativos expuestos: SSH, RDP, bases de datos, paneles de hosting y de CMS.
Programas viejos con fallas que los atacantes ya están usando.
Versiones con CVE conocidas, priorizadas por explotación real (KEV y EPSS).
Que la conexión segura, el candado del navegador, esté bien puesta.
TLS: protocolos, cifrados, certificados y HSTS.
Que nadie pueda adueñarse de un subdominio que dejaste de usar.
Subdomain takeover y registros DNS que apuntan a servicios dados de baja.
Que nadie mande correos en tu nombreSPF, DKIM y DMARC
Que nadie mande correos que parezcan tuyos a tus clientes o proveedores.
SPF, DKIM y DMARC: registros, política y alineación.
Que tu correo viaje cifrado entre servidores.
STARTTLS, MTA-STS y TLS-RPT en tus servidores de correo.
Que tu dominio no esté en listas negras que mandan tus correos a spam.
Reputación del dominio y de las IP de envío en listas de bloqueo.
Tus cuentas de Microsoft 365 o GoogleConfiguración de M365 o Workspace (CIS)
Que todas las cuentas tengan doble factor y no queden puertas viejas sin él.
MFA, acceso condicional y autenticación heredada deshabilitada.
Quién es administrador, y quién ya no debería serlo.
Cuentas privilegiadas, roles de administración y cuentas inactivas.
Que tus documentos no estén compartidos con cualquiera que tenga el enlace.
Uso compartido externo y enlaces públicos en OneDrive, SharePoint o Drive.
Reglas que reenvían tu correo afuera y apps con permiso para leerlo.
Reenvío externo, reglas de buzón y apps de terceros con permisos OAuth.
Que quede registro y salte una alerta si alguien entra donde no debe.
Registro de auditoría, alertas y filtros de correo, según CIS Benchmark.
1 aplicación web con hasta 2 tipos de usuario.1 aplicación web con hasta 2 roles de usuario.
Hasta 10 servidores o subdominios.Hasta 10 hosts o subdominios.
1 dominio de correo.1 dominio de correo, con revisión de SPF, DKIM y DMARC.
1 cuenta de Microsoft 365 o Google Workspace, sin tope de usuarios.Revisión de configuración de 1 cuenta de Microsoft 365 o Google Workspace, sin tope de usuarios.
No incluye
Apps móviles y la red de la oficina. Van en módulos o en Warren.Apps móviles y red interna. Módulos aparte o Warren.
Pruebas que puedan tirar tu servicio. Nunca las hacemos.Denegación de servicio y cualquier prueba destructiva. Fuera de alcance.
Simulacro de phishing a tu gente. Es un módulo aparte.Simulacro de phishing. Módulo independiente.
Los servidores de la empresa que aloja tu sitio o tu tienda. Probamos tu sitio y tu configuración, no la plataforma del proveedor.Infraestructura de terceros: hosting, plataformas de comercio electrónico y SaaS. Solo el sitio y la configuración del cliente.
Si tu sistema pasa estos límites, cerramos un presupuesto antes de firmar. Sin sorpresas.
Preguntas antes de contratar
¿Cuánto tarda y cuándo empezamos?
Entre 1 y 2 semanas. Empezamos dentro de la semana siguiente a la firma. Si es urgente, escríbenos y vemos si podemos empezar en 72 horas.
¿Qué pasa si encuentran algo grave a mitad de camino?
Te avisamos el mismo día. No esperamos al informe para contarte un problema crítico.
Mi sitio está en un hosting o en una plataforma de tiendas. ¿También lo revisan?
Sí. Revisamos tu sitio, tus cuentas y tu configuración dentro de la plataforma. Los servidores del proveedor quedan fuera: son suyos y no tenemos permiso para probarlos.
¿Quieres ver tu sitio como lo ve un atacante?
Una auditoría, hasta 2 semanas, cada arreglo verificado. Reservamos el inicio dentro de la semana siguiente a la firma.
