Auditoría, QA y pentesting de aplicaciones
Revisamos tus aplicaciones como lo haría un atacante y como lo haría un usuario exigente. Encontramos vulnerabilidades, errores y cuellos de botella, y te decimos cómo resolverlos por orden de importancia.
Qué incluye el servicio
Pentesting de aplicaciones
Pruebas de intrusión sobre aplicaciones web, APIs y apps móviles para encontrar las vulnerabilidades antes que nadie.
Auditoría de código y arquitectura
Revisión del código, la arquitectura y las dependencias: calidad, facilidad de mantenimiento, deuda técnica y riesgos.
QA y pruebas funcionales
Comprobamos que la aplicación hace lo que debe en todos sus flujos, dispositivos y navegadores.
Pruebas automatizadas
Baterías de pruebas que se ejecutan con cada cambio y evitan que lo que funcionaba deje de hacerlo.
Rendimiento y carga
Medimos cómo responde la aplicación con muchos usuarios a la vez y dónde se atasca.
Mantenimiento seguro
Actualizamos versiones, librerías y componentes vulnerables para que una aplicación que funciona siga estando al día.
Paso a paso, sin sorpresas
-
01
Alcance y autorización
Acordamos por escrito qué se prueba, cómo y cuándo. Sin autorización no se toca nada.
-
02
Análisis
Estudiamos la aplicación, su arquitectura y su superficie de ataque.
-
03
Pruebas
Pruebas manuales y automatizadas, siguiendo metodologías reconocidas como las de OWASP.
-
04
Informe
Hallazgos por gravedad, con evidencias y cómo corregirlos, y un resumen para dirección.
-
05
Corrección
Te ayudamos a corregir, o lo corregimos nosotros si lo prefieres.
-
06
Verificación
Volvemos a probar para confirmar que cada vulnerabilidad está cerrada.
Tecnologías y herramientas
- METODOLOGÍA
- OWASP Pruebas manuales Pruebas automatizadas
- ALCANCE
- Aplicaciones web APIs Apps móviles
- CALIDAD
- Análisis estático Rendimiento Dependencias
Lo que nos suelen preguntar
¿Qué diferencia hay entre una auditoría y un pentest?
La auditoría revisa la aplicación por dentro: código, arquitectura, dependencias y configuración. El pentest la ataca desde fuera, como haría alguien sin acceso, para comprobar qué vulnerabilidades se pueden explotar de verdad. Se complementan y a menudo se hacen juntos.
¿El pentest puede afectar a mi aplicación en producción?
Antes acordamos el alcance, las técnicas y la ventana horaria. Siempre que es posible trabajamos sobre un entorno de pruebas igual al real; si hay que probar en producción, evitamos las pruebas que puedan degradar el servicio.
¿Qué recibo al terminar?
Un informe con cada hallazgo, su gravedad, la evidencia y cómo corregirlo, además de un resumen ejecutivo para dirección. Después, si quieres, comprobamos que las correcciones funcionan.
¿Auditáis aplicaciones que no habéis desarrollado vosotros?
Sí, y es lo más habitual. Da igual quién la haya hecho o con qué tecnología: auditamos aplicaciones web, APIs y apps móviles.
¿Cada cuánto conviene hacer una auditoría de seguridad?
Como mínimo, antes de poner en marcha algo importante y después de cambios grandes. Si la aplicación maneja datos sensibles, conviene revisarla periódicamente: aparecen vulnerabilidades nuevas en librerías que ayer eran seguras.
Artículos relacionados
¿Lo vemos juntos?
Cuéntanos qué necesitas y te respondemos en menos de 24 horas laborables.