En 2 a 3 semanas probamos tu plataforma entera como lo haría un atacante: tus apps, tu API, tu nube y las reglas de tu negocio, con cada arreglo verificado y la plata en juego.
Pentest manual de hasta 3 aplicaciones o 1 plataforma, API REST o GraphQL hasta ~80 endpoints, hasta 4 roles, lógica de negocio, aislamiento entre clientes y 1 cuenta de nube. Incluye todo lo de Dig. Un segundo Lop revisa cada hallazgo.
Duración
2 a 3 semanas
Inicio
Empezamos dentro de la semana siguiente a la firma
Un escáner gratis mira si la puerta existe. Un Lop prueba si se abre: con cuentas reales, a mano, y juntando fallas chicas que por separado parecen nada y juntas cuestan caro.
Los escáneres automáticos detectan firmas conocidas. Control de acceso, lógica de sesión y cadenas de fallas solo aparecen con pruebas manuales autenticadas. Cada hallazgo se confirma con una prueba de concepto y lo revisa un segundo Lop.
Hasta 3Sistemas webAplicaciones web (OWASP WSTG)
Que nadie entre con la cuenta de otro: contraseñas, recuperación de clave y sesiones.
Autenticación, recuperación de cuenta, gestión de sesiones y doble factor.
Que nadie pueda meter código o comandos por un formulario, un buscador o una dirección web.
Inyección SQL, NoSQL, de comandos y de plantillas; XSS reflejado, almacenado y en el DOM.
Que no se puedan subir archivos peligrosos disfrazados de foto o de PDF.
Subida de archivos: tipo, contenido, nombre, ruta y ejecución en el servidor.
Que tu sitio no pueda usarse para engañar a tus visitantes ni para llegar a tus sistemas internos.
CSRF, redirecciones abiertas, SSRF, clickjacking y CORS mal configurado.
Archivos y páginas olvidadas: copias de seguridad, paneles de prueba, versiones viejas.
Descubrimiento de contenido: backups, .git y .env expuestos, entornos de prueba y endpoints sin enlazar.
Que un error en pantalla no muestre datos internos, claves o código.
Manejo de errores, trazas, claves en el código del navegador y fugas de información.
Plugins, temas y programas del sitio con fallas ya conocidas.
Componentes con CVE conocidas: CMS, plugins, temas y librerías JavaScript.
Que los datos de tus clientes viajen protegidos y no queden a la vista en el navegador.
Cookies (Secure, HttpOnly, SameSite), cabeceras de seguridad, CSP y datos sensibles en el cliente.
Que nadie pueda probar miles de contraseñas o llenar tus formularios con un robot.
Límites de intentos, enumeración de usuarios, captcha y protección contra automatización.
4Tipos de usuarioRoles
Que un usuario no vea los pedidos, facturas o datos de otro usuario.
Control de acceso horizontal (IDOR) en vistas, descargas, exportaciones y llamadas internas.
Que un usuario común no llegue a funciones de administrador.
Escalada vertical de privilegios y funciones administrativas sin control.
Que lo que se oculta en pantalla también esté cerrado por detrás.
Autorización validada en el servidor, no en el navegador; parámetros y campos ocultos manipulados.
Servidores expuestos a internetSuperficie externa: puertos y servicios
Todo lo tuyo que está abierto a internet, incluso lo que nadie recuerda.
Descubrimiento de subdominios (DNS y registros de certificados), puertos y servicios.
Paneles, bases de datos o accesos remotos que no deberían verse desde afuera.
Servicios administrativos expuestos: SSH, RDP, bases de datos, paneles de hosting y de CMS.
Programas viejos con fallas que los atacantes ya están usando.
Versiones con CVE conocidas, priorizadas por explotación real (KEV y EPSS).
Que la conexión segura, el candado del navegador, esté bien puesta.
TLS: protocolos, cifrados, certificados y HSTS.
Que nadie pueda adueñarse de un subdominio que dejaste de usar.
Subdomain takeover y registros DNS que apuntan a servicios dados de baja.
Que nadie mande correos en tu nombreSPF, DKIM y DMARC
Que nadie mande correos que parezcan tuyos a tus clientes o proveedores.
SPF, DKIM y DMARC: registros, política y alineación.
Que tu correo viaje cifrado entre servidores.
STARTTLS, MTA-STS y TLS-RPT en tus servidores de correo.
Que tu dominio no esté en listas negras que mandan tus correos a spam.
Reputación del dominio y de las IP de envío en listas de bloqueo.
Tus cuentas de Microsoft 365 o GoogleConfiguración de M365 o Workspace (CIS)
Que todas las cuentas tengan doble factor y no queden puertas viejas sin él.
MFA, acceso condicional y autenticación heredada deshabilitada.
Quién es administrador, y quién ya no debería serlo.
Cuentas privilegiadas, roles de administración y cuentas inactivas.
Que tus documentos no estén compartidos con cualquiera que tenga el enlace.
Uso compartido externo y enlaces públicos en OneDrive, SharePoint o Drive.
Reglas que reenvían tu correo afuera y apps con permiso para leerlo.
Reenvío externo, reglas de buzón y apps de terceros con permisos OAuth.
Que quede registro y salte una alerta si alguien entra donde no debe.
Registro de auditoría, alertas y filtros de correo, según CIS Benchmark.
Conexiones entre sistemasAPIs REST y GraphQL (OWASP API Top 10)
Que nadie use la API para ver o cambiar datos de otro usuario.
Autorización a nivel de objeto y de función (BOLA, BFLA) en cada endpoint.
Que los permisos y las llaves de la API no se puedan robar ni reutilizar.
Autenticación de la API, vida y revocación de tokens (JWT, OAuth) y llaves.
Que la API no devuelva ni acepte más datos de los que debe.
Exposición excesiva de datos y asignación masiva (mass assignment).
Que nadie sature la API ni abuse de sus límites.
Consumo de recursos y límites de uso sin control (rate limiting).
Versiones viejas y entornos de prueba de la API que siguen abiertos.
Inventario de la API: versiones obsoletas y endpoints de prueba expuestos.
Reglas del negocio: pagos, cupones, límitesLógica de negocio
Que nadie pague menos, duplique un pago o quede con saldo que no le toca.
Manipulación del flujo de pago, de precios e importes del lado del cliente.
Que no se puedan apilar cupones ni pasar los límites de una promoción.
Abuso de cupones, acumulación y límites de promociones y de stock.
Que no se puedan saltar pasos de un proceso, como confirmar un pedido sin pagar.
Saltos de estado y de orden en procesos de varios pasos, condiciones de carrera incluidas.
Que un cliente no vea los datos de otroAislamiento entre clientes (multi-tenant)
Que un cliente nunca vea ni toque los datos de otro cliente.
Aislamiento de datos entre inquilinos en consultas, exportaciones y archivos.
Que cambiar un identificador no te meta en la cuenta de otra empresa.
Manipulación del identificador de inquilino en tokens, rutas y parámetros.
Que un recurso compartido no filtre información entre clientes.
Fugas por cachés, colas y almacenamiento compartidos entre inquilinos.
Tu nubeConfiguración de nube (AWS, GCP, Azure)
Que no queden depósitos de archivos ni bases de datos abiertos a internet.
Buckets, bases y servicios expuestos; cifrado en reposo y en tránsito (CIS).
Quién puede hacer qué en tu nube, y quién tiene más permisos de los que necesita.
Permisos de IAM, roles con exceso de privilegios y llaves de larga vida.
Que quede registro de lo que pasa y que las redes estén separadas.
Registro y trazas, grupos de seguridad y segmentación de red en la nube.
Las librerías que usa tu softwareRevisión de dependencias (SCA)
Librerías de tu software con fallas ya conocidas.
Dependencias con CVE conocidas, priorizadas por explotación real (KEV y EPSS).
Componentes sin mantenimiento o demasiado viejos.
Dependencias sin soporte, versiones ancladas y licencias de riesgo.
Firmamos qué entra, la autorización y quién es tu contacto. Nos das una cuenta de prueba por cada tipo de usuario.
Acordamos por escrito el alcance, la autorización de pruebas, la persona de contacto y 1 cuenta de prueba por rol (hasta 4).
2
Días 1 a 3
Mapa de la plataforma
Listamos todo lo tuyo que se ve desde internet, tus apps y cada punto de entrada de tu API.
Superficie externa, inventario de aplicaciones y enumeración de endpoints de la API. Esa es la superficie que vamos a probar.
3
Días 4 a 12
Pruebas manuales
Buscamos fallas a mano en tus apps, tu API, tu nube y las reglas de tu negocio. Si algo es grave, te avisamos el mismo día.
Pruebas manuales sobre apps, API (OWASP API Top 10), lógica de negocio, aislamiento entre clientes, nube (CIS) y dependencias (SCA). Aviso el mismo día ante un hallazgo crítico.
4
Día 13
Verificación
Un segundo Lop revisa cada hallazgo para descartar falsas alarmas.
Un segundo analista reproduce cada hallazgo y descarta falsos positivos antes de reportarlo.
5
Días 14 y 15
Informe y cierre
Te entregamos el informe y hacemos una reunión de 30 minutos para repasarlo.
Entregamos el informe para dirección y el técnico, y cerramos con una reunión de 30 minutos.
6
Hasta 6 meses
Re-tests
Arreglas, nos avisas y verificamos sin costo, cuantas veces haga falta.
Re-tests ilimitados de lo encontrado durante 6 meses, sin cargo.
Qué recibes
Un informe corto para dirección: cuánto está en juego en dinero y qué dice la ley de tu país.
Resumen para dirección con el impacto económico y el marco legal del país del cliente.
El detalle de cada falla, con la cadena completa cuando varias se encadenan, y cómo se arregla.
Informe técnico con cada hallazgo, su severidad CVSS, las cadenas de explotación y los pasos de arreglo.
Un comprobante de que la auditoría se hizo, para mostrar a clientes o socios.
Constancia con firma verificable del alcance y la fecha.
Un panel donde ves el estado de cada arreglo en todo momento.
Panel con el estado de cada hallazgo: abierto, en curso o verificado.
30 minutos para repasar el informe y resolver dudas.
Reunión de cierre de 30 minutos con el equipo técnico.
Todo lo de Dig: tu sitio, tu correo y tus cuentas de Microsoft 365 o Google Workspace.Base completa de Dig: superficie externa, correo (SPF, DKIM, DMARC) y configuración de Microsoft 365 o Google Workspace.
Hasta 3 aplicaciones web o 1 plataforma.Hasta 3 aplicaciones web o 1 plataforma, con OWASP WSTG completo.
1 API con hasta 80 puntos de entrada.1 API REST o GraphQL, hasta ~80 endpoints (OWASP API Top 10).
Hasta 4 tipos de usuario.Hasta 4 roles, con pruebas de control de acceso entre todos.
Las reglas de tu negocio y, si eres multi-cliente, la separación entre clientes.Lógica de negocio y aislamiento entre clientes (multi-tenant).
1 cuenta de nube y las librerías que usa tu software.1 cuenta de nube (AWS, GCP o Azure) con CIS y revisión de dependencias (SCA).
No incluye
La red de tus oficinas y tus sistemas internos. Van en Warren.Red interna y Active Directory. Fuera de alcance: eso es Warren.
Apps móviles. Son un módulo aparte.Apps móviles (OWASP MASVS). Módulo independiente.
Pruebas que puedan tirar tu servicio. Nunca las hacemos.Denegación de servicio y cualquier prueba destructiva. Fuera de alcance.
Los servidores de la empresa que aloja tu plataforma. Probamos tu plataforma y tu configuración, no la del proveedor.Infraestructura de terceros: hosting y SaaS gestionados. Solo la plataforma y la configuración del cliente.
Si tu plataforma pasa estos límites, cerramos un presupuesto antes de firmar. Sin sorpresas.
Preguntas antes de contratar
¿Cuánto tarda y cuándo empezamos?
Entre 2 y 3 semanas. Empezamos dentro de la semana siguiente a la firma. Si es urgente, escríbenos y vemos si podemos empezar en 72 horas.
Tengo una API y varias apps. ¿Entran todas?
Entran hasta 3 aplicaciones o 1 plataforma y 1 API de hasta 80 puntos de entrada. Si tienes más, lo medimos en el diagnóstico y cerramos un presupuesto antes de firmar.
¿Qué pasa si encuentran algo grave a mitad de camino?
Te avisamos el mismo día. No esperamos al informe para contarte un problema crítico.
¿Quieres ver tu plataforma como la ve un atacante?
Una auditoría, 2 a 3 semanas, cada arreglo verificado durante 6 meses. Reservamos el inicio dentro de la semana siguiente a la firma.
