Saltar al contenido

Encuentra los puntos débiles antes que los atacantes

Ciberseguridad

Pruebas prácticas de web, API, móvil y nube que terminan con correcciones, no solo con un informe.

Qué probamos y corregimos

Pruebas de penetración

Pruebas manuales, con mentalidad de atacante, de tus aplicaciones web y tu infraestructura expuesta a internet. Encontramos lo que los escáneres automáticos pasan por alto: controles de acceso rotos, fallos de lógica y debilidades encadenadas.

  • Pruebas de aplicaciones web
  • Pruebas de infraestructura externa
  • Pruebas autenticadas y no autenticadas
  • Opciones de caja negra, gris y blanca

OWASP WSTG, PTES, NIST SP 800-115

  • Pruebas de API y apps móviles

    API REST y GraphQL y apps para iOS y Android, probadas en busca de fallos de autorización, almacenamiento inseguro de datos y transporte poco seguro.

    OWASP API Security Top 10, OWASP MASVS, OWASP MASTG

  • Evaluación de vulnerabilidades

    Análisis autenticados de tus sistemas y dependencias. Cada resultado se revisa a mano, se descartan los falsos positivos y el resto se ordena por riesgo real.

    CVSS v4.0, CISA KEV

  • Revisión de código seguro

    Revisión línea a línea del código que más importa, como la autenticación, los pagos y el acceso a datos, respaldada por análisis estático y comprobación de dependencias.

    OWASP ASVS, CWE Top 25

  • Revisión de seguridad en la nube

    Una auditoría de configuración de tus cuentas de AWS, Azure o Google Cloud: identidades y accesos, exposición de red, registros, cifrado y almacenamiento.

    CIS Benchmarks

  • Modelado de amenazas

    Antes de construir, trazamos cómo podría atacarse tu sistema y qué controles incorporar desde el diseño. Cuesta mucho menos que corregirlo después.

    STRIDE

  • Corrección y nueva prueba

    Somos ingenieros de software además de auditores, así que podemos corregir los hallazgos en tu código, volver a probar cada uno y confirmar que está resuelto.

Cómo se desarrolla un encargo

Define el alcance de una prueba

  1. Alcance y autorización

    Acordamos objetivos, tipo de prueba, calendario y contactos. Firmas una autorización por escrito antes de que empiece cualquier prueba.

  2. Pruebas

    Las pruebas se dirigen manualmente y siguen la metodología acordada. Las herramientas automáticas las apoyan, pero nunca las sustituyen.

  3. Informe

    Cada hallazgo incluye una puntuación CVSS, evidencias, pasos para reproducirlo e indicaciones claras para corregirlo. Los problemas críticos se comunican de inmediato.

  4. Corrección y nueva prueba

    Tu equipo o el nuestro corrige los hallazgos. Después los volvemos a probar y emitimos un informe actualizado.

Qué recibes

  • Resumen ejecutivo

    El riesgo explicado con claridad para fundadores, consejos de administración y auditores.

  • Hallazgos técnicos

    Cada problema valorado con CVSS v4.0, con evidencias y pasos para reproducirlo.

  • Guía de corrección

    Correcciones específicas para tu tecnología, ordenadas por prioridad.

  • Carta de certificación

    Confirmación de lo que se ha corregido, para compartir con clientes o auditores.

Encaja contigo si

  • Estás a punto de lanzar o buscar inversión y necesitas una revisión de seguridad
  • Tus clientes te piden un informe de pentest
  • Tratas datos personales, de salud o de pago
  • Quieres que los hallazgos se corrijan, no solo que se enumeren

Estándares con los que realizamos las pruebas

Seguimos metodologías publicadas y reconocidas por el sector, para que sepas exactamente qué se ha probado y cómo, y puedas comparar nuestros resultados con cualquier otra evaluación.

  • OWASP WSTG
  • OWASP ASVS
  • OWASP MASVS
  • OWASP API Top 10
  • PTES
  • NIST SP 800-115
  • CVSS v4.0
  • CIS Benchmarks
  • CWE Top 25

Cómo tratamos tus sistemas

  • Autorización por escrito

    Solo probamos sistemas que te pertenecen o que estás autorizado a someter a pruebas, y siempre dentro del alcance que firmas.

  • Reglas de actuación acordadas

    Las ventanas de prueba, los sistemas excluidos y los contactos de emergencia se fijan antes de empezar.

  • Confidencial por defecto

    Firmamos un acuerdo de confidencialidad si lo pides, ciframos los hallazgos en reposo y en tránsito, y compartimos los informes solo con tus contactos designados.

  • Eliminado al terminar el encargo

    Los datos de prueba y las evidencias se eliminan de forma segura al final del periodo de conservación acordado.

¿Has encontrado una vulnerabilidad en nuestra propia web? Lee nuestra política de seguridad