Encuéntralo antes que otro.
Una prueba que produce el informe de un escáner no es una prueba. Intentamos ataques reales contra tu aplicación y te enseñamos qué funcionó de verdad.
Intentamos entrar en tu aplicación web o tu API como lo haría un atacante, y te contamos qué funcionó, lo grave que es y cómo arreglarlo. Cada hallazgo se reproduce y se verifica a mano, y después volvemos a probar tus correcciones. No tenemos acreditaciones como CREST ni certificaciones, y lo decimos. Para empresas en España.
Actualizado noviembre de 2026
Un escaneo automático no es una prueba de penetración, aunque muchos se vendan así.
Los escáneres encuentran patrones conocidos. No se dan cuenta de que cambiar un número en una URL te enseña la factura de otro cliente, o de que el restablecimiento de contraseña se puede dirigir a la cuenta de otra persona. Esos son los hallazgos que importan, y necesitan a una persona.
Así que una prueba de verdad es sobre todo manual, dirigida a la lógica de tu negocio tanto como a tus librerías. Los hallazgos valiosos suelen ser propios de cómo funciona tu aplicación, no de con qué se construyó.
Y el informe tiene que servir. Cincuenta hallazgos ordenados por una puntuación genérica no son un plan. Lo que necesitas es: arregla estos tres esta semana, estos cinco este trimestre, y este es el porqué de que el resto pueda esperar.
Qué probamos.
Autenticación y sesiones
Inicio de sesión, restablecimiento, tokens, caducidad. Donde suelen estar los hallazgos más dañinos.
Control de acceso
Si un usuario puede llegar a los datos de otro cambiando un valor. Sistemáticamente el fallo grave más habitual.
Lógica de negocio
Descuentos aplicados dos veces, cantidades negativas, saltarse un paso. Los escáneres nunca los encuentran.
Inyección y tratamiento de entradas
SQL, comandos, plantillas. Mejor que antes, y todavía merece comprobarse.
Las API en concreto
A menudo menos protegidas que la interfaz web, y cada vez más la puerta de entrada.
Subida y almacenamiento de archivos
Qué se puede subir, dónde acaba y quién puede leerlo después.
Configuración
Paneles de administración expuestos, credenciales por defecto, errores demasiado detallados, almacenamiento público.
Volver a probar tras corregir
Forma parte del encargo. Un informe contra el que no puedes verificar es la mitad del trabajo.
Escaneo, prueba o auditoría.
Las tres se llaman prueba de penetración. Cuestan y entregan cosas muy distintas.
| Escaneo automático | Prueba de penetración | Auditoría completa | |
|---|---|---|---|
| Encuentra vulnerabilidades conocidas | Sí | Sí | Sí |
| Encuentra fallos de lógica de negocio | No | Sí: la parte valiosa | Sí |
| Encadena problemas pequeños | No | Sí | Sí |
| Revisa el código fuente | No | A veces | Sí |
| Falsos positivos | Muchos | Pocos: verificados a mano | Pocos |
| Duración | Horas | Semanas | Más semanas |
| Adecuado para | Comprobación continua | Antes de lanzar, o cada año | Sectores regulados, o antes de una compra |
Cómo trabajamos.
Alcance y permiso por escrito antes de empezar nada. Sin excepciones.
Los fallos de lógica de negocio son donde está el daño, y ningún escáner los encuentra.
No tenemos CREST ni certificaciones similares. Si tu cliente o tu regulador exige un proveedor acreditado, te lo diremos antes de presupuestar.
Cuándo probar.
Antes de un lanzamiento
Sobre todo si manejas pagos o datos personales.
Te lo ha pedido un cliente
Cada vez más habitual en ventas a grandes empresas.
Después de un cambio importante
Un flujo de pago nuevo, una autenticación nueva, una reescritura grande.
No en lugar de arreglar lo que ya sabes
Si ya tienes una lista de problemas sin corregir, arréglalos primero: una prueba solo volvería a encontrarlos. Y si necesitas un informe con sello de un proveedor acreditado, no somos nosotros.
Cómo trabajamos.
Acordamos el alcance por escrito
Qué entra, qué no y cuándo. Probar sin autorización escrita no es algo que hagamos.
Mapeamos la aplicación
Cada punto de entrada, cada rol, cada sitio por donde se mueven los datos.
Probamos a mano
Los escáneres funcionan de fondo. Los hallazgos que importan salen de una persona intentando cosas.
Lo verificamos todo
Cada hallazgo reproducido y confirmado. Nadie debería pasar una semana con un falso positivo.
Ordenamos por riesgo real
Lo que un atacante podría hacer de verdad aquí, no una puntuación genérica. Tres urgentes ganan a cincuenta en una lista.
Volvemos a probar tras tus correcciones
Confirmar el arreglo es parte del trabajo.
Pruebas de penetración
6 preguntas respondidas. ¿Tienes otra? Escríbenos.
Un escáner busca patrones conocidos y produce una lista larga con muchos falsos positivos. Una prueba de penetración es sobre todo una persona intentando romper tu aplicación concreta, que es como se encuentran los fallos de lógica de negocio, normalmente los graves. Si un presupuesto suena barato y rápido, probablemente compras un escaneo con portada de informe.
Siete categorías. Cuarenta y cinco servicios.
Cuéntanos el proyecto. Te diremos si somos las personas adecuadas.
Escríbenos lo que necesitas, aunque sea a grandes rasgos. Respondemos en un día laborable, y si el proyecto debería ser más pequeño, o lo debería hacer otro, te lo decimos en la primera llamada.