Pentest
Web, API, aplicaciones móviles, infraestructura, nube. Trabajo manual según OWASP y PTES, no un informe de escáner.
Para empresas
Encontrar los agujeros antes que quienes los buscan y demostrar al auditor que su seguridad no está solo en papel.
Auditoría
Código, arquitectura, configuraciones. Decimos dónde el riesgo es real y dónde puede ahorrar.
Compliance
ISO 27001, SOC 2, RGPD, NIS2 y DORA. Del análisis de brechas a las políticas y la preparación para certificar. vCISO si no tiene un CISO propio.
Qué recibe
- Un informe con evidencias, nivel de riesgo y plan de corrección que entienden tanto el desarrollador como el director
- Una nueva verificación tras las correcciones con confirmación
- Un resumen de una página para la dirección y el auditor
- Una revisión de resultados con su equipo en línea
Preguntas frecuentes
¿Por dónde empezar si nunca hemos hecho un pentest?
Por una breve conversación sobre sistemas y riesgos, tras la cual proponemos el alcance y el formato. Normalmente el primer pentest se hace sobre la aplicación principal en modo grey box.
¿Basta con un escáner de vulnerabilidades?
El escáner es útil como higiene periódica, pero no ve errores de lógica ni encadena hallazgos en un escenario de ataque real. Eso es justo lo que hace el pentest.
¿Con qué frecuencia repetirlo?
Una vez al año o tras cambios importantes en el sistema. Para ISO 27001 y SOC 2 la periodicidad queda fijada en las políticas.
Confidencialidad como protocolo, no como promesa
Así tratamos su material desde el primer correo hasta la destrucción de los artefactos.
Cifrado desde el inicio
El material se guarda en un soporte cifrado y solo accede quien ejecuta el trabajo. El informe se entrega cifrado y la contraseña va por otro canal.
Permiso antes del primer escaneo
Ninguna prueba sin el consentimiento escrito del propietario del sistema. Alcance, ventanas de prueba y palabra de parada se acuerdan de antemano.
Lo crítico se comunica de inmediato
Un hallazgo peligroso se entrega el mismo día en que se detecta, sin esperar al informe final.
Destrucción programada
Al terminar el proyecto destruimos los artefactos y emitimos un certificado. Caso público solo con consentimiento escrito aparte.
Compruébelo usted mismo
Dos comprobaciones gratuitas que muestran lo que cualquiera puede ver de usted en un minuto. Sin registro, los resultados no se guardan.
Compruebe la protección de su web
Lo que su sitio entrega a cada visitante: redirección a HTTPS, cabeceras de seguridad, scripts y rastreadores de terceros, versiones de software expuestas.
Hacemos dos peticiones normales a la portada, como un navegador. No escaneamos ni guardamos nada.
Compruebe la protección de su correo
Sin SPF y DMARC cualquiera puede enviar correo en nombre de su dominio. La comprobación solo lee registros DNS públicos y no guarda nada.
Solo leemos los registros DNS públicos del dominio. No guardamos ni escaneamos nada.
Escríbanos
El mensaje va directamente a nuestro Telegram. Nada queda en el servidor.
Telegram
