Pentest Web para SaaS B2B
Pre-Sales & Pre-Audit
Identifica vulnerabilidades críticas antes de cerrar ese cliente enterprise o enfrentar una auditoría ISO/SOC2. Pentest independiente ejecutado por pentesters que entienden código y arquitectura.
¿Te suena familiar?
Escenarios reales donde un pentest independiente marca la diferencia
Security Review de Cliente Enterprise
Ese prospecto de $50K MRR te pide un reporte de pentest. Tu equipo interno dice "estamos seguros" pero no tienes evidencia independiente.
Auditoría ISO 27001 / SOC2
El auditor te pide evidencia de pentesting anual. Necesitas un reporte profesional que cumpla con los requisitos de compliance sin perder 3 meses en el proceso.
Falsa Sensación de Seguridad
Tienes WAF, scanners automáticos y tests unitarios. Pero las vulnerabilidades lógicas y de negocio solo las encuentra un humano que entiende tu aplicación.
Qué incluye (y qué NO)
Alcance claro desde el día 1. Sin sorpresas ni costos ocultos.
Qué SÍ incluye
- Pentesting manual de aplicación webOWASP Top 10, lógica de negocio, autenticación, autorización
- Testing de API REST/GraphQLEndpoints, autorización, rate limiting, mass assignment
- Análisis de superficie de ataqueSubdominios, configuración DNS, headers de seguridad
- Reporte técnico priorizadoVulnerabilidades ordenadas por riesgo real, no teórico
- Re-testing gratuitoValida que las correcciones realmente funcionan
- Reunión de cierre30 min para aclarar dudas y priorizar correcciones
Qué NO incluye
- Pentesting de infraestructura/redEste servicio se enfoca en la capa de aplicación web
- Code review de código fuenteEs un servicio separado (disponible bajo pedido)
- Pentesting de aplicaciones móviles nativasSolo web y API por ahora
- Desarrollo o corrección de vulnerabilidadesReportamos, tu equipo corrige (o podemos asesorar)
Por qué somos diferentes
No somos un consultor de seguridad genérico. Somos pentesters que entienden desarrollo.
Pentester + Developer
No solo ejecutamos exploits. Leemos tu código, entendemos tu arquitectura, y sabemos exactamente qué tan crítica es cada vulnerabilidad en tu contexto específico.
Recomendaciones que tu equipo puede ejecutar
Cero frases genéricas tipo "implementar validación de entrada". Te decimos exactamente qué cambiar, en qué archivo, y cómo validar que la corrección funciona.
Entendemos riesgo de negocio, no solo riesgo técnico
Una vulnerabilidad crítica (CVSS 9.8) que solo afecta a usuarios internos puede esperar. Un XSS en el checkout que puede robarte clientes se corrige YA. Priorizamos por impacto real.
Comunicación directa, sin teatro
No inflamos reportes con "vulnerabilidades" de severidad baja solo para justificar precio. Si tu app está bien, te lo decimos. Si está rota, te decimos exactamente qué está roto.
Qué recibes al final
Entregables concretos, no PowerPoints llenos de palabras bonitas
Reporte Técnico Priorizado
Documento en formato PDF/Markdown con todas las vulnerabilidades encontradas, ordenadas por riesgo REAL (no solo CVSS teórico). Cada vulnerabilidad incluye:
- Descripción técnica clara (sin jerga innecesaria)
- Severidad ajustada a tu contexto de negocio
- Proof of Concept (PoC) funcional
- Pasos exactos para reproducirla
- Recomendación específica de corrección
- Referencias a OWASP/CWE/CVE cuando aplique
Evidencias Explotables (Screenshots + Videos)
Para cada vulnerabilidad crítica/alta, incluimos capturas de pantalla y/o videos cortos mostrando la explotación. Esto ayuda a tu equipo a entender el impacto real y a validar que la corrección funciona durante el re-testing.
Reunión de Cierre (30 min)
Después de entregar el reporte, agendamos una videollamada de 30 minutos para:
- Aclarar dudas sobre vulnerabilidades específicas
- Priorizar correcciones según tu roadmap/deadline
- Coordinar timeline de re-testing
- Discutir si necesitas acompañamiento de remediación (opcional)
Re-testing Incluido (Sin Costo Extra)
Después de que tu equipo corrija las vulnerabilidades, re-testeamos TODAS las correcciones para validar que realmente funcionan. Esto es crítico porque muchas "correcciones" introducen nuevos bugs o no cubren todos los casos.
El pentest es independiente.
No hay conflicto de interés.
Esto debe quedar absolutamente claro porque es el fundamento de un pentest ético
No hay obligación de contratar remediación
El pentest termina con la entrega del reporte y el re-testing. Lo que hagas después es 100% tu decisión. Puedes corregir con tu equipo interno, contratar a cualquier otra empresa, o solicitar nuestro acompañamiento de remediación (ver sección siguiente). Sin presión comercial.
Evitamos conflicto de interés
Nuestra prioridad es reportar vulnerabilidades reales con severidad ajustada a tu negocio. NO inflamos reportes para vender servicios de corrección. Si tu app está bien asegurada o no, te lo decimos directamente.
Tu equipo puede corregir todo
El reporte incluye recomendaciones específicas y código de ejemplo cuando es necesario. Cualquier equipo de desarrollo competente puede implementar las correcciones sin necesidad de ayuda externa. El re-testing valida que las correcciones funcionan, independientemente de quién las haya hecho.
En resumen: Contrataste un pentest, recibes un pentest. Sin agendas ocultas, sin ventas cruzadas forzadas, sin bullshit.
Acompañamiento de Remediación Segura
Si tu equipo no tiene tiempo o experiencia corrigiendo vulnerabilidades específicas, podemos asesorar o ejecutar las correcciones directamente
Qué SÍ hacemos
- Corrección directa de vulnerabilidadesAplicamos los parches necesarios en tu codebase
- Hardening de configuraciónHeaders de seguridad, CSP, CORS, rate limiting
- Asesoría técnica en tiempo realTu equipo corrige, nosotros revisamos código antes de merge
- Refactoring orientado a seguridadReestructurar código vulnerable sin cambiar funcionalidad
Qué NO hacemos
- Desarrollo de features nuevasEste servicio NO es desarrollo a la medida
- Construcción de aplicaciones completasNo somos una agencia de desarrollo
- Mantenimiento continuo de productoSolo correcciones puntuales de seguridad
- Trabajo en features no relacionadas con seguridadEl foco es 100% remediación de vulnerabilidades
Modalidad y Precio
Preguntas frecuentes
¿Pueden hacer el pentest en producción o necesitan un entorno separado?
Preferimos staging/pre-producción cuando está disponible, especialmente para tests más agresivos (fuzzing, DoS tests, etc.). Pero entendemos que muchas startups no tienen staging que refleje producción fielmente.
Podemos hacer pentest en producción con estas precauciones:
- Coordinamos horarios de bajo tráfico
- Evitamos tests destructivos o de carga
- Usamos cuentas de prueba (no usuarios reales)
- Notificamos antes de cada test potencialmente riesgoso
En 50+ pentests en producción, nunca hemos causado downtime o pérdida de datos.
¿Por qué pagar por pentest manual si tengo scanners automáticos?
Scanners automáticos (Burp Suite Pro, OWASP ZAP, Acunetix, etc.) son excelentes para low-hanging fruit: XSS básicos, SQLi evidentes, configuraciones inseguras. Los usamos también.
Pero fallan completamente en:
- Vulnerabilidades de lógica de negocio: IDOR contextual, flujos de autorización complejos, race conditions
- Falsos positivos: Scanners reportan "vulnerabilidades" que no son explotables en tu contexto específico
- Priorización: Un scanner te da 500 issues, un pentester te dice cuáles 5 importan realmente
- Creatividad: Combinar múltiples vulnerabilidades menores para lograr impacto crítico (chain attacks)
Ejemplo real: Cliente tenía Burp Suite Pro. Pasó con 0 vulnerabilidades críticas. Nosotros encontramos IDOR que permitía acceder a facturas de otros clientes. El scanner no lo vio porque requería entender el flujo de negocio.
¿El reporte sirve para auditorías ISO 27001 / SOC2?
Sí, el reporte cumple con los requisitos estándar de pentesting para compliance.
Incluye:
- Alcance detallado del pentest (sistemas evaluados, fuera de alcance)
- Metodología utilizada (OWASP Testing Guide, PTES, etc.)
- Fecha de ejecución y duración
- Vulnerabilidades encontradas con severidad CVSS
- Evidencia de re-testing post-corrección
Si tu auditor necesita formato específico (plantilla corporativa, campos adicionales), lo adaptamos sin costo extra. Solo avísanos durante la llamada inicial.
Nota: No somos certificadores ISO ni auditores SOC2. El pentest es UNO de los controles requeridos, no garantiza certificación por sí solo.
Necesito el pentest en menos de 5 días. ¿Es posible?
Depende del alcance y nuestra disponibilidad. Para aplicaciones web relativamente simples (< 20 endpoints críticos), podemos hacer pentest express en 48-72 horas con un recargo del 30%.
Importante: Pentest urgente NO significa pentest de menor calidad. Significa asignar más tiempo del pentester concentrado en menos días.
Si tienes deadline urgente, menciónalo en la llamada inicial. Evaluamos viabilidad y te confirmamos en 24h.
¿Firman NDA antes de acceder a nuestra aplicación?
Absolutamente. Firmamos NDA (Non-Disclosure Agreement) bilateral antes de iniciar el pentest. Podemos usar tu template corporativo o el nuestro.
También podemos firmar acuerdos de confidencialidad más estrictos si tu empresa lo requiere (startups con patentes pendientes, empresas reguladas, etc.).
Toda información obtenida durante el pentest se elimina después del re-testing. No guardamos credenciales, screenshots, ni datos sensibles.
¿Listo para identificar vulnerabilidades antes de que lo haga alguien más?
Agenda una llamada de 15 minutos. Sin compromiso, sin presión comercial. Solo charlamos sobre tu aplicación y si el pentest tiene sentido para tu caso.