Servicio de pentest
Pentest de aplicaciones web
Probamos cada aplicación con todos sus roles, no una muestra de pantallas. La matriz de autorización entre perfiles es donde está el riesgo real, y es lo que ninguna herramienta automática evalúa bien.
Qué revisamos
- Autenticación, gestión de sesiones y recuperación de cuenta
- Autorización horizontal y vertical entre todos los roles (IDOR, escalamiento)
- Lógica de negocio: flujos de aprobación, límites, estados saltables
- Inyecciones (SQLi, XSS, comandos) y deserialización
- Exposición de datos sensibles y errores de control de acceso a nivel de objeto
- Configuración de seguridad: cabeceras, CORS, cookies
Para tu auditoría
Qué controles cubre
Los hallazgos se entregan mapeados a A.8.29 (pruebas en desarrollo y aceptación), A.8.8 (vulnerabilidades técnicas) y cl. 9.1. Cada uno con su clasificación CVSS, pasos de reproducción y plan de remediación, para que el auditor los contraste contra tu SGSI.
Caja gris con credenciales por rol: es la única forma de comprobar que un perfil no puede hacer lo de otro. Sobre staging llegamos hasta el final de cada hallazgo; sobre producción nos detenemos antes de tocar datos reales.
Otros servicios
Cuéntanos tu caso
Diez minutos de formulario y te damos el alcance y el valor exacto, sin rangos.