Qué hacemos

Auditorías de seguridad para lo que tu empresa expone en internet

Nos centramos en la seguridad ofensiva, de la web a la infraestructura: simulamos lo que haría un atacante, pero de forma controlada y con tu autorización.

Aplicaciones web y e-commerce

Revisión completa de tu aplicación como lo haría un atacante externo y, si lo acordamos, como usuario autenticado con distintos roles.

Para quién: tiendas online, portales de clientes, plataformas de reservas, aplicaciones a medida.

Qué revisamos

Autenticación, recuperación de contraseña y gestión de sesiones
Control de acceso y permisos entre usuarios
Inyecciones (SQL, comandos, plantillas) y XSS
Lógica de negocio, carritos, descuentos y pagos
Subida de archivos y configuración del servidor

APIs

Análisis de APIs REST y GraphQL que usan tu web, tu app móvil o tus socios.

Para quién: empresas con app móvil, integraciones con terceros o arquitectura de microservicios.

Qué revisamos

Autorización a nivel de objeto y de función
Exposición excesiva de datos
Límites de uso y abuso de endpoints
Gestión de tokens y claves

WordPress y otros CMS

Revisión de la instalación, la configuración y los componentes de terceros que más se explotan en la práctica.

Para quién: webs corporativas, blogs, tiendas con WooCommerce y webs gestionadas por agencias.

Qué revisamos

Versiones de núcleo, plugins y temas con vulnerabilidades conocidas
Usuarios, roles y contraseñas débiles
Archivos y paneles expuestos
Endurecimiento de la configuración

Infraestructura expuesta

Mapa de lo que tu empresa tiene visible desde internet y evaluación de su configuración.

Para quién: empresas con servidores propios, VPS o servicios en la nube accesibles públicamente.

Qué revisamos

Puertos y servicios abiertos innecesarios
Certificados TLS y cifrado
Cabeceras de seguridad HTTP
Paneles de administración y servicios olvidados

Pentest de infraestructura

Prueba de intrusión completa sobre servidores y redes: partimos de lo que un atacante puede ver y comprobamos hasta dónde podría llegar, con control total sobre el riesgo.

Para quién: empresas con servidores propios, red corporativa, dominio Windows o servicios críticos que quieren conocer su exposición real.

Servicio bajo acuerdo específico: la explotación y la escalada solo se realizan con autorización expresa para ello.

Qué hacemos

Reconocimiento y escaneo de puertos y servicios
Identificación y validación de vulnerabilidades
Explotación controlada y acceso inicial
Escalada de privilegios hasta administrador o root
Active Directory y movimiento lateral, si están incluidos en el alcance
Evidencias del impacto real y recomendaciones de corrección

Re-test de correcciones

Una vez corregidos los hallazgos, comprobamos de nuevo que las medidas funcionan y no han abierto otros problemas.

Qué recibes

Estado de cada hallazgo: corregido, parcial o pendiente
Informe de cierre actualizado

Alcance

Qué no hacemos

Fijar los límites desde el principio protege a todos.

No probamos nada sin autorización escrita del titular.
No realizamos pruebas de denegación de servicio ni de estrés salvo que se pacten expresamente.
No hacemos ingeniería social contra tu equipo salvo acuerdo específico.
No modificamos ni borramos datos de producción. En un pentest de infraestructura demostramos el acceso sin dejar cambios persistentes y revertimos lo que sea necesario.
No emitimos certificaciones (ISO 27001, ENS u otras): una auditoría técnica no sustituye a una certificación.

Para agencias web

Si desarrollas webs para clientes, podemos auditar tus entregas antes de publicarlas. Escríbenos y preparamos un acuerdo adaptado a tu forma de trabajar.

Hablar con nosotros

¿Qué parte de tu web te preocupa más?

Cuéntanoslo y te proponemos el alcance adecuado.

Solicitar auditoría