Pentesting de aplicaciones web
Escanear no es lo mismo que atacar.
Atacamos tus aplicaciones web, portales y APIs como lo haría un atacante, con autorización y método, para que las vulnerabilidades las encuentres tú primero. Siguiendo OWASP, con hallazgos clasificados por CVSS y retest de las correcciones.
- Más de 15 años de experiencia
- Partner de Microsoft desde 2010
- Más de 200 grandes organizaciones como clientes
- Certificados en ISO 27001
- Equipo propio en Barcelona y Madrid
EL PUNTO DE PARTIDA
Las aplicaciones son la puerta de entrada
Los escáneres encuentran fallos conocidos; los atacantes buscan los fallos de lógica que ningún escáner ve.
Inyección
Formularios sin validar
Cada campo de entrada es candidato a inyección SQL, XSS o CSRF si no se valida correctamente.
Autorización
Accesos que no deberían existir
Usuarios que ven datos de otros (IDOR) o que llegan a funciones de un rol superior.
Sesiones
Autenticación débil
Cookies sin protección, tokens JWT mal validados y sesiones que no caducan.
Configuración
Cabeceras y cifrado
Cabeceras de seguridad ausentes, TLS mal configurado y paneles de administración expuestos.
Sin un pentest, el primero en probar tus aplicaciones puede ser un atacante.
¿Cuándo tiene sentido un pentest?
Si te identificas con alguno de estos escenarios, el pentest te da la evidencia que necesitas.
Nueva aplicación o gran versión
Validar la seguridad antes de abrir a internet un portal, un área privada o una API.
Clientes, aseguradoras o auditores
Cuestionarios de seguridad, pólizas de ciberriesgo o due diligence que piden un pentest reciente.
ISO 27001, ENS o NIS2
Los auditores esperan pruebas periódicas, hallazgos clasificados y evidencia de retest.
Datos personales o de negocio
Aplicaciones con datos de clientes, pagos o información crítica y varios roles de usuario.
También como revisión periódica: anual o tras cada cambio relevante en la aplicación.
Un escáner no basta
Un escáner detecta lo conocido; un pentest comprueba qué puede hacer realmente un atacante.
Solo escáner
Una lista de avisos
- Cientos de alertas sin priorizar
- Falsos positivos que nadie descarta
- Fallos de lógica de negocio invisibles
- Permisos entre roles sin comprobar
- Sin evidencia de que se ha corregido
Resultado: sensación de seguridad, no seguridad
Con Itequia
Un ataque controlado y documentado
- Pruebas automáticas y manuales combinadas
- Cada rol, probado contra cada función
- Explotación controlada que confirma el riesgo
- Hallazgos clasificados con CVSS
- Retest incluido para cerrar cada hallazgo
Resultado: vulnerabilidades confirmadas y cerradas
Lo que haría un atacante, con autorización
Combinamos la cobertura de las herramientas con el criterio de un especialista: ninguna basta sola.
Las herramientas
Pruebas automatizadas
Escaneo activo, enumeración de rutas y análisis del servidor y del cifrado, en toda la superficie.
El especialista
Pruebas manuales
Inyección, sesiones y lógica de negocio, rol a rol: lo que ningún escáner detecta.
El resultado
Riesgo confirmado
Cada vulnerabilidad, explotada de forma controlada, clasificada y con su corrección.
Dónde atacamos
Formularios
Inyección SQL, XSS y CSRF en cada campo de entrada
Roles
Matriz de autorización: escalada de privilegios e IDOR
Sesiones
Autenticación, cookies y tokens JWT de cada rol
Servidor
Cabeceras HTTP, configuración TLS y paneles de administración
Qué probamos
Seguimos la guía de pruebas de OWASP (WSTG) y cubrimos los riesgos del OWASP Top 10.
Reconocimiento
- DNS y subdominios
- Tecnologías expuestas
- Cabeceras HTTP
- Rutas y ficheros ocultos
Entradas de datos
- Inyección SQL
- Cross-site scripting
- CSRF
- Validación de entradas
Configuración
- Cabeceras de seguridad
- TLS y certificados
- Servidor web
Autenticación
- Login y contraseñas
- Gestión de sesiones
- Cookies y tokens JWT
- Caducidad y cierre
Autorización
- Matriz rol–función
- Escalada de privilegios
- Datos ajenos (IDOR)
- Panel de administración
Preferentemente en preproducción, o en producción en ventanas acordadas, sin impacto en tus usuarios.
Nuestra diferencia
Un alcance medido, no estimado a ojo
El esfuerzo no depende del número de páginas, sino de la superficie de ataque real.
01
Medimos la superficie
Un rastreo con OWASP ZAP cuenta las páginas (P) y los formularios (F) de la aplicación.
02
Ponderamos el riesgo
Cada formulario pesa por tres y cada rol de usuario (R) multiplica: (P + 3F) × R.
03
Precio cerrado
La puntuación sitúa la aplicación en un nivel con esfuerzo y precio cerrados de antemano.
Un portal de 10 páginas con 4 roles puede exigir más pruebas que uno de 80 páginas sin login.
Cuatro pasos, de la autorización al retest
La duración se ajusta a cada caso: páginas, formularios y roles de usuario en alcance.
01
Alcance firmado
Autorización
Alcance, entornos, ventanas de prueba y contacto de emergencia, por escrito.
02
Medición y preparación
Reconocimiento
Rastreo de la aplicación, confirmación de la complejidad y reconocimiento pasivo.
03
Automática y manual
Ejecución
Escaneos, pruebas manuales rol a rol y explotación controlada de hallazgos.
04
Equipo técnico y dirección
Informe y retest
Informes con CVSS, plan de remediación y verificación de las correcciones.
Qué recibes: evidencias para actuar
Informe ejecutivo
Los riesgos relevantes y su impacto potencial, sin tecnicismos, para la dirección.
Informe técnico
Cada hallazgo con su descripción, evidencia y clasificación CVSS, de crítico a informativo.
Plan de remediación
Priorizado por riesgo, con una recomendación concreta por hallazgo para el equipo de desarrollo.
Retest
Verificación de que las vulnerabilidades corregidas han quedado efectivamente cerradas.
Evidencias para el SGSI
Documentación lista para el auditor de ISO 27001 o ENS.
El pentest confirma el riesgo y marca cómo cerrarlo. La corrección en el código, la auditoría de la infraestructura y los pentests periódicos son servicios separados.
Cómo se contrata
Precio cerrado, sin compromisos posteriores
Cada paso se decide con la información del anterior: el pentest no obliga a contratar nada más.
01
Valoración inicial
Una sesión para confirmar aplicaciones, entornos y roles de usuario en alcance.
02
Pentest
A precio cerrado, según la puntuación de complejidad de cada aplicación.
03
Corrección
Como proyecto: código y configuración, según el plan de remediación.
04
Revisión periódica
Pentest anual o tras cada versión relevante, con el mismo método.
El informe y el plan de remediación son tuyos, para ejecutarlos con quien decidas. Pruebas autorizadas por escrito y datos tratados bajo nuestra certificación ISO 27001.
La diferencia con un informe de escáner
Un equipo que también desarrolla y opera aplicaciones.
Hallazgos confirmados
Cada vulnerabilidad, explotada de forma controlada y verificada por especialistas.
Seguridad que practicamos
Itequia está certificada en ISO 27001 y trabaja en entornos regulados: banca, farma, industria y sector público.
Sabemos corregirlo
Desarrollamos aplicaciones desde 2008: correcciones aplicables y, si quieres, las implantamos.
Qué obtienes
Riesgo confirmado
Qué puede hacer realmente un atacante en tus aplicaciones.
Prioridades claras
Hallazgos clasificados por CVSS, de crítico a informativo.
Correcciones verificadas
Retest de cada vulnerabilidad cerrada.
Evidencias para terceros
Informes para clientes, aseguradoras y auditores.
Cumplimiento
Gestión de vulnerabilidades técnicas para ISO 27001, ENS y NIS2.
Coste y alcance acotados
Precio cerrado calculado con un método objetivo.
Dónde encaja el pentest
El pentest funciona solo o junto al resto de servicios de ciberseguridad de Itequia.
Auditar la red
Auditoría de ciberseguridad
Vulnerabilidades de la infraestructura y madurez de las políticas.
Probar las aplicaciones
Pentesting de aplicaciones web
Ataques controlados, rol a rol, con retest de las correcciones.
Evaluar las aplicaciones
Evaluación Well-Architected
Código, arquitectura y plataforma frente a los cinco pilares.
Cumplir
Diagnóstico NIS2, ENS e ISO 27001
Aplicabilidad, gap por marco y plan de acción priorizado.
Cada servicio se contrata por separado. Infraestructura, aplicaciones y cumplimiento con el mismo partner.
¿Por qué Itequia es la mejor opción para tus necesidades de desarrollo de software?
Con más de 15 años de experiencia en el sector digital, ofrecemos servicios de desarrollo de software eficientes y personalizados. Nuestra metodología ágil y herramientas de gestión garantizan entregas que se adaptan a tus necesidades.
Como Microsoft Solutions Partner, tenemos la competencia y experiencia para utilizar las tecnologías más avanzadas.
Contamos con un equipo de más de 50 profesionales humanos altamente cualificados compuesto por analistas, diseñadores, desarrolladores, testers, consultores y directores de proyecto.
Más de 15 años de experiencia
Preguntas frecuentes
¿Cuándo fue el último pentest de tu aplicación más expuesta?
Cuéntanos qué aplicaciones te preocupan y qué te piden clientes, aseguradoras o auditores.