Realizamos pruebas de seguridad de aplicaciones para identificar vulnerabilidades explotables antes del lanzamiento o durante el ciclo de vida de la aplicación. Sin alarmismo, con rigor técnico.
Primero definimos el alcance juntos. Sin presión, con criterio técnico.
Evaluamos las vulnerabilidades más críticas y frecuentes siguiendo el estándar OWASP Top 10: inyección SQL, XSS, autenticación defectuosa, exposición de datos sensibles, configuraciones inseguras, entre otras. El alcance puede ser solo la aplicación (DAST — pruebas de caja negra contra la app en ejecución), el código fuente (SAST — análisis estático), o ambas en combinación.
Antes de cualquier lanzamiento que maneje datos sensibles: información financiera, datos personales, credenciales, datos de salud. Antes de integraciones con sistemas de terceros. Después de cambios arquitectónicos mayores. Y como mínimo, una vez al año para aplicaciones en producción activa.
OWASP ZAP y Burp Suite para análisis dinámico. SonarQube y Semgrep para análisis estático de código. Nmap y herramientas de reconocimiento para evaluación de superficie de ataque. Siempre con autorización explícita y documentada del cliente antes de cualquier prueba activa.
Las documentamos con nivel de criticidad (crítica, alta, media, baja), descripción técnica, prueba de concepto (si aplica), y recomendación de corrección. Entregamos el informe al equipo técnico y podemos acompañar la fase de remediación para verificar que las correcciones son efectivas.
Depende del alcance. DAST (caja negra) no requiere acceso al código. SAST sí. En muchos casos hacemos ambas para tener una visión más completa.
No. Emitimos un informe técnico detallado, que no es un certificado de seguridad. Un certificado formal requiere procesos de auditoría distintos (PCI-DSS, ISO 27001, etc.).
Un test DAST estándar toma entre 1 y 2 semanas. SAST depende del tamaño del código base. Proyectos combinados pueden tomar 3-4 semanas.
Sí, dentro del alcance de seguridad de aplicaciones. No hacemos pentesting de infraestructura de red — ahí recomendamos especialistas en ese dominio específico.
Verificamos que tu software cumple con lo que el negocio necesita, no solo con lo que el ticket dice. Testing funcional con exploración y criterio técnico, no solo ejecución de casos predefinidos.
Evaluamos cómo se comporta tu sistema bajo carga real, identificamos cuellos de botella antes del lanzamiento y te decimos cuánto tráfico puede soportar antes de degradarse.
Diseñamos estrategias de testing móvil con cobertura real de dispositivos, sistemas operativos y condiciones de uso — para que los bugs no los encuentren tus usuarios primero.