SERVICIO ESPECIALIZADO
¿Tu aplicación web resiste ataques reales?
Pentesting de aplicaciones web
Evaluamos la seguridad de portales y aplicaciones mediante pruebas controladas que combinan reconocimiento técnico y validación manual para comprender riesgos reales.
Consultar por este servicio ↗¿CUÁNDO TE AYUDAMOS?
Situaciones en las que podemos aportar
Partimos de un problema concreto para definir qué revisar y cómo avanzar.
- Vas a publicar una aplicación con datos de clientes.
- Quieres revisar los roles y permisos de usuarios.
- Necesitas validar una plataforma existente.
METODOLOGÍA
Cómo lo abordamos
Un alcance claro, evidencia técnica y recomendaciones aplicables.
Analizamos autenticación, sesiones y entradas.
Validamos posibles fallas dentro de lo autorizado.
Entregamos evidencias y medidas de corrección.
ENTREGABLES
Qué puedes esperar
El alcance y los entregables se definen antes de comenzar, según tus prioridades.
- Hallazgos técnicos con evidencias.
- Riesgos priorizados y recomendaciones.
- Informe útil para el equipo de desarrollo.
CRITERIO TÉCNICO
Lo que realmente revisamos en una aplicación web
Una aplicación puede parecer segura desde la página de inicio y fallar al cambiar de usuario, recuperar una sesión o ejecutar una acción con permisos insuficientes. La evaluación se organiza alrededor de flujos reales.
Identidad y sesiones
Se observan inicio y cierre de sesión, recuperación de cuentas, protección de cookies y manejo de estados. El objetivo es comprobar si una sesión puede utilizarse indebidamente o si hay diferencias entre lo que el usuario ve y lo que el servidor permite.
Autorización y lógica
Se revisan roles y referencias a objetos: un usuario no debería acceder a órdenes, archivos o funciones de otro por cambiar un identificador. También importan los estados del proceso, como aprobación, pago o anulación, donde un flujo mal diseñado habilita acciones inesperadas.
Entradas y configuración
Según el alcance, se evalúan validación de entradas, carga de archivos, generación de documentos, errores y controles del servidor. La revisión considera riesgos habituales descritos por OWASP, sin asumir que una lista cubre todas las particularidades de la aplicación.
Pruebas autenticadas y sin autenticar cubren preguntas distintas. Se acuerdan cuentas de prueba, datos permitidos, entornos y límites antes de comenzar.
PREGUNTAS FRECUENTES
Dudas habituales
Resolvemos preguntas frecuentes sobre el servicio y su alcance.
¿Se puede evaluar producción?
Sí, cuando hay autorización y condiciones para evitar efectos operativos no deseados.
¿Qué se necesita?
Definir alcance, responsables y, si aplica, cuentas de prueba.
OTRAS SOLUCIONES
Servicios relacionados
SIGUIENTE PASO
Conversemos sobre tu desafío
Podemos ayudarte a definir el alcance y las primeras medidas.