Pentest web: pruebas de penetración para aplicaciones y sitios
Atacamos su aplicación como lo haría un atacante real, con su autorización por escrito y en un ambiente acordado, para encontrar lo que un escáner no ve: fallas de lógica, permisos mal resueltos y combinaciones de errores que juntos abren la puerta.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Cuándo necesita un pentest (y cuándo no)
Sí lo necesita si: – tiene una plataforma propia con usuarios, pagos o datos sensibles (portal de clientes, sistema de turnos, intranet); – va a lanzar una aplicación o un cambio grande; – un cliente, un banco o una certificación se lo exigen (por ejemplo, PCI DSS o ISO 27001).
Probablemente no lo necesite si tiene un sitio institucional en WordPress con formulario de contacto. En ese caso, una auditoría de seguridad web da más por menos dinero.
Qué probamos
Seguimos la guía de pruebas de OWASP y cubrimos, como mínimo, las categorías del OWASP Top 10:
Control de acceso
¿un usuario puede ver o modificar datos de otro?
Inyección
SQL, comandos y XSS.
Autenticación y sesiones
Recuperación de claves, fuerza bruta, sesiones que no expiran.
Lógica de negocio
Precios modificables, pasos que se pueden saltear, cupones reutilizables.
Configuración y componentes
Versiones con fallas conocidas, errores que revelan información.
APIs
Que usa la aplicación.
Cómo se hace
- Alcance por escrito: qué se prueba, desde dónde, en qué horario y qué queda afuera.
- Pruebas: automáticas para cubrir superficie y manuales para profundizar.
- Informe: resumen ejecutivo para la dirección e informe técnico con la evidencia de cada hallazgo y cómo reproducirlo.
- Re-test: una vez corregido, verificamos que cada falla quedó cerrada.
Empresas de toda la región
Para entender el problema a fondo
Qué es un pentest y cuándo lo necesita su empresa
Un pentest, o prueba de penetración, es un ataque real contra sus sistemas, hecho con su autorización por…
Leer la guíaOWASP Top 10 (2025) explicado con ejemplos
El OWASP Top 10 es la lista de referencia de los riesgos de seguridad más críticos en aplicaciones…
Leer la guíaQué es XSS (cross-site scripting) y cómo prevenirlo
El XSS es una de las fallas más comunes en sitios web: permite que un atacante haga ejecutar…
Leer la guíaInyección SQL: qué es, ejemplos y cómo evitarla
La inyección SQL es una de las fallas más viejas de la web y sigue siendo una de…
Leer la guíaPreguntas frecuentes
¿Le quedó una duda que no está acá? Escríbanos y le contestamos sin vueltas.
¿El pentest puede tirar abajo la aplicación?
Se acuerda de antemano qué pruebas se hacen sobre producción. Lo que tiene riesgo se prueba en un ambiente de prueba o fuera del horario de uso.
¿Cuánto dura?
Depende del alcance. Una aplicación chica lleva pocos días; una plataforma con varios roles y APIs, más. El plazo va en la propuesta, junto con el alcance.
¿Qué diferencia hay con el análisis de vulnerabilidades?
El análisis encuentra fallas conocidas en lo que tiene instalado. El pentest busca las fallas propias de su aplicación, que no están en ningún registro. → Análisis de vulnerabilidades
¿Firman un acuerdo de confidencialidad?
Sí, antes de empezar.
Le decimos qué tiene abierto, gratis
Déjenos la dirección de su sitio. Le mandamos los hallazgos concretos que encontramos desde afuera, sin compromiso y sin instalar nada.
¿Consulta urgente? WhatsApp 095 283 123