Evaluaciones
Pruebas Web y API
Pruebas principalmente manuales con herramientas específicas cuando ayudan. Probamos con cuentas acordadas contra entornos acordados, y nunca ejecutamos comprobaciones destructivas o que afecten a la disponibilidad sin aprobación explícita.
Alcance
- Autenticación, gestión de sesiones y recuperación de cuentas
- Autorización: control de acceso por rol, por tenant y a nivel de objeto
- Manejo de entradas: inyección, gestión de archivos, deserialización
- Abuso de lógica de negocio: saltos de flujo, condiciones de carrera, lógica de pagos y cuotas
- Específico de APIs: sobreexposición de datos, mass assignment, rate limiting
Método
Pruebas principalmente manuales con herramientas específicas cuando ayudan. Probamos con cuentas acordadas contra entornos acordados, y nunca ejecutamos comprobaciones destructivas o que afecten a la disponibilidad sin aprobación explícita.
Entregable
Un informe escrito con resumen ejecutivo, hallazgos reproducibles (peticiones exactas, rutas afectadas, evidencia) y corrección ordenada por riesgo real. El re-test de hallazgos corregidos se incluye cuando se acuerda en el alcance.
Método
Cómo trabajamos
01
Alcance
Cada proyecto empieza con una conversación de alcance y termina esa conversación con un acuerdo escrito: tu marco objetivo o los sistemas y entornos que entran, qué queda explícitamente fuera, qué cuentas y datos usaremos y el calendario.
02
Evaluar
Medimos dónde estás: un análisis de brechas contra tu marco objetivo, una revisión de controles, políticas y riesgo, y pruebas prácticas donde importan. El trabajo es manual y metódico, guiado por cómo se usa realmente el sistema y qué querría de él un atacante. Las herramientas apoyan el trabajo; no lo sustituyen.
03
Explicar
Recibes un informe escrito y una llamada de revisión. El resumen ejecutivo está escrito para quien no estuvo en la sala; cada hallazgo lleva evidencia, pasos de reproducción, impacto de negocio y una corrección concreta.
04
Verificar
Cuando tu equipo ha corregido, volvemos a probar los hallazgos afectados y emitimos un informe actualizado que indica con claridad qué está resuelto, qué parcialmente y qué sigue abierto. Para un programa de certificación, preparamos las evidencias y te acompañamos durante la auditoría, y luego te ayudamos a mantenerlo al día.
Preguntas frecuentes
- ¿Prueban en producción o en staging?
- Probamos en el entorno que usted autorice por escrito, normalmente una copia de staging o preproducción con datos representativos. Nunca ejecutamos pruebas destructivas o que afecten a la disponibilidad contra producción sin aprobación explícita.
- ¿En qué se diferencia esto de un análisis de vulnerabilidades?
- Un análisis es automatizado y señala firmas conocidas; nuestras pruebas son principalmente manuales, por lo que encontramos fallos de lógica de negocio, autorización defectuosa y exploits encadenados que los escáneres pasan por alto. Las herramientas apoyan el trabajo, no lo sustituyen.
- ¿Vuelven a probar después de que corrijamos los hallazgos?
- Sí: cuando se acuerda en el alcance, se incluye un reensayo de los hallazgos corregidos, y emitimos un informe actualizado que indica qué está resuelto, parcialmente resuelto o aún abierto.
Lecturas relacionadas
Otras evaluaciones
Los proyectos son de alcance y precio fijos una vez acordados. Si no sabes qué servicio encaja, ya sea preparación para certificación, asesoría de GRC o una prueba de penetración, describe tu situación y te recomendaremos un alcance, incluida la honestidad de decirte si aún no nos necesitas.