Qué es un pentest y cuándo lo necesita su empresa
Un pentest, o prueba de penetración, es un ataque real contra sus sistemas, hecho con su autorización por especialistas que buscan las fallas antes de que las encuentre un atacante. Es el servicio de seguridad más profundo y también el más malentendido: muchas empresas compran un "pentest" que en realidad es un escaneo, y otras pagan uno que no necesitan. Le explicamos qué es, cómo se hace y cuándo conviene.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es un pentest
Pentest viene de penetration test, prueba de penetración. Un equipo de especialistas en hacking ético intenta vulnerar un sistema (un sitio web, una aplicación, una red) con las mismas técnicas que usaría un atacante, dentro de un alcance y unas reglas acordadas por escrito.
La diferencia con otros servicios está en la pregunta que responde:
| Servicio | Pregunta que responde | Cómo |
|---|---|---|
| Análisis de vulnerabilidades | ¿Tengo fallas ya conocidas en lo que instalé? | Escaneo automático y validación → Análisis de vulnerabilidades |
| Auditoría de seguridad | ¿Qué tengo mal configurado o expuesto? | Revisión de controles, afuera y adentro → Auditoría de seguridad web |
| Pentest | ¿Hasta dónde llega un atacante decidido? | Ataque controlado con pruebas manuales |
Tipos de pentest
- 01
Según lo que sabe el equipo que ataca
- Caja negra. El equipo no tiene información previa ni accesos: parte de lo mismo que un atacante externo. Es el más realista, pero puede dejar zonas sin revisar.
- Caja gris. El equipo tiene algunos datos o un usuario de prueba, como tendría un cliente registrado. Es el más usado en aplicaciones web porque equilibra realismo y cobertura.
- Caja blanca. El equipo tiene acceso al código y a la documentación. Es el más completo y el que más fallas encuentra.
- 02
Según lo que se prueba
- Pentest web. Sitios y aplicaciones web: inicio de sesión, permisos, formularios, pagos, APIs. → Pentest web
- Pentest de aplicaciones móviles. La aplicación y los servicios con los que habla.
- Pentest de red externa. Todo lo que su empresa expone a internet: servidores, VPN, correo.
- Pentest de red interna. Qué puede hacer alguien que ya está adentro de la red de la oficina.
- Pruebas de ingeniería social. Correos y llamadas simuladas para medir cómo responde el equipo. → Ingeniería social
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Las fases de un pentest
- 01
Alcance y reglas
Qué se prueba, desde dónde, en qué horario, qué queda afuera y a quién se avisa si algo se rompe. Todo por escrito y firmado: sin autorización, un pentest es un delito.
- 02
Reconocimiento
Reunir información sobre el objetivo: tecnologías, versiones, usuarios, puntos de entrada.
- 03
Búsqueda de vulnerabilidades
Herramientas automáticas para cubrir superficie y pruebas manuales para profundizar, siguiendo guías como la de OWASP. → OWASP Top 10
- 04
Explotación
Intentar aprovechar las fallas encontradas para demostrar el impacto real: acceder a datos, escalar permisos, encadenar errores.
- 05
Informe
Un resumen ejecutivo para la dirección y un informe técnico con cada hallazgo, su evidencia, cómo reproducirlo y cómo corregirlo.
- 06
Re-test
Después de las correcciones, verificar que cada falla quedó cerrada.
Qué tiene que entregar un buen pentest
Resumen ejecutivo
En lenguaje no técnico: qué tan expuesta está la empresa y qué es urgente.
Hallazgos con nivel de riesgo
Evidencia (capturas, pedidos) y pasos para reproducirlos.
Recomendaciones concretas
Para corregir cada uno.
Re-test
Incluido o presupuestado.
Si el «informe del pentest» es la salida de un escáner con cien alertas sin priorizar, no fue un pentest.
¿Su empresa necesita un pentest?
- 01
Sí, si tiene una plataforma propia
Un portal de clientes, un sistema de turnos, una aplicación a medida o integraciones con pagos. Las fallas de lógica de su aplicación no están en ningún registro y solo se encuentran con pruebas manuales.
- 02
Sí, si se lo exigen
Un cliente grande, un banco, una pasarela de pagos o una certificación (PCI DSS, ISO 27001) que pide un pentest anual.
- 03
Sí, antes de lanzar algo importante
Una aplicación nueva o un cambio grande en una existente.
- 04
Probablemente no, si tiene un sitio institucional
Para un WordPress con formulario de contacto, una auditoría y un mantenimiento dan más protección por menos dinero. → Cuánto cuesta una auditoría de seguridad
Servicios relacionados
Preguntas frecuentes
¿Qué es un pentest?
Es una prueba de penetración: un ataque real y autorizado contra sus sistemas, hecho por especialistas, para encontrar las fallas antes que un atacante.
¿Qué diferencia hay entre un pentest y un análisis de vulnerabilidades?
El análisis busca fallas conocidas con herramientas. El pentest además intenta explotarlas y busca fallas propias de su aplicación con pruebas manuales.
¿Cuánto dura un pentest?
Depende del alcance: una aplicación chica puede llevar algunos días; una plataforma con varios roles y APIs, varias semanas.
¿Un pentest puede romper algo?
Hay riesgo, por eso se acuerda qué se prueba en producción, en qué horario y qué se hace en un ambiente de prueba.
¿Cada cuánto conviene hacer un pentest?
Una vez por año y antes de cada lanzamiento o cambio grande. Las normas de pagos y algunas certificaciones exigen una frecuencia mínima.
Más sobre ciberseguridad para empresas
Ciberseguridad en las empresas: riesgos reales y primeras medidas
La ciberseguridad dejó de ser un tema de bancos y multinacionales. Hoy cualquier empresa con un sitio web, correo corporativo y una…
LeerRansomware en pymes: qué es, cómo entra y cómo prepararse
Un lunes a la mañana nadie puede abrir los archivos: todos tienen una extensión rara y en cada carpeta hay un mensaje…
LeerCuánto cuesta una auditoría de seguridad web (y de qué depende)
"¿Cuánto cuesta una auditoría de seguridad?" es como preguntar cuánto cuesta una reforma: depende de qué se revisa, con qué profundidad y…
Leer¿No sabe si necesita un pentest o una auditoría?
Empecemos por un diagnóstico externo, sin claves: le decimos qué nivel de revisión corresponde a su sitio o aplicación.
¿Consulta urgente? WhatsApp 095 283 123