Pentest de aplicaciones web

Por qué un pentest web va más allá del escáner

Las herramientas automáticas encuentran versiones desactualizadas y cabeceras ausentes. Los hallazgos que causan brechas reales —un usuario viendo datos de otro, un cupón aplicado infinitas veces, una invitación que da acceso de administrador— dependen de entender qué debería permitir la aplicación. Es trabajo de especialista, y ahí concentramos el tiempo de la prueba.

Qué probamos

• Autenticación y sesión: login, MFA, recuperación de contraseña, SSO/OAuth, expiración y revocación.
• Autorización: acceso horizontal y vertical entre usuarios, roles y tenants (BOLA/IDOR, escalada de privilegios).
• Lógica de negocio: pagos, cupones, límites, flujos de aprobación, condiciones de carrera.
• Inyecciones y entrada de datos: SQL/NoSQL, XSS, template injection, subida de ficheros, deserialización.
• Integraciones y servidor: SSRF, webhooks, almacenamiento en la nube, CORS y cabeceras.
• Exposición de datos: respuestas que entregan más de lo que muestra la pantalla, logs, ficheros y copias accesibles.

Cobertura guiada por OWASP Top 10, OWASP WSTG y ASVS, en caja negra, gris o blanca; recomendamos caja gris, que da más cobertura por día de prueba.

Cómo funciona

1. Alcance (1 conversación): entendemos funcionalidades, roles y entorno. Propuesta con precio cerrado en 24 h.
2. Preparación: NDA, reglas de enfrentamiento, cuentas de prueba por rol y ventana de ejecución.
3. Prueba: reconocimiento, análisis manual y explotación controlada. Avisamos de los hallazgos críticos al momento.
4. Informe: resumen ejecutivo, hallazgos con severidad, evidencias y corrección recomendada para tu stack.
5. Retest: validamos las correcciones y emitimos informe actualizado.

Hallazgos típicos en aplicaciones web

• Usuario normal accediendo a pedidos, facturas o documentos de otros clientes.
• Invitación o cambio de rol que concede privilegios de administrador.
• Recuperación de contraseña o cambio de email que permite tomar cuentas.
• Cupones, límites y saldos manipulables por condiciones de carrera.
• Subida de ficheros que acepta ejecutables o expone ficheros de otros usuarios.
• Funciones internas accesibles sin autenticación por estar solo ocultas en la interfaz.

Cada hallazgo incluye prueba de concepto e impacto en lenguaje de negocio.

Pentest que sirve para auditoría

El informe incluye alcance, periodo, metodología, severidad justificada y evidencia de retest: lo que buscan auditores y clientes en ISO 27001 (A.8.8 y A.8.29), SOC 2 (CC4.1 y CC7.1), PCI DSS 4.0 (requisito 11.4), RGPD (art. 32), ENS, NIS2 y DORA. También emitimos un certificado para enviar a clientes sin exponer detalles técnicos.

Por qué Pentest Machine

• El fundador ejecuta y garantiza la calidad. Más de 20 años de experiencia, carrera internacional en seis de las mayores empresas del mundo y ponencias en OWASP AppSec USA, Black Hat y varias BSides. Participa en las pruebas y revisa cada informe antes de la entrega.
• Solo especialistas sénior en el ataque. Herramientas propias e IA aceleran el trabajo repetitivo; la decisión de qué explotar y cómo encadenar es humana.
• Transparencia comercial. Precio cerrado en 24 h, NDA antes del alcance, retest incluido y facturación en la UE, Brasil o EE. UU.
• Informe para tres públicos: dirección, equipo de desarrollo y auditoría.

Qué recibes

• Informe técnico y resumen ejecutivo (ES, PT o EN).
• Prueba de concepto reproducible e impacto de negocio de cada hallazgo.
• Severidad justificada (CVSS ajustado al contexto).
• Reunión de presentación con el equipo de desarrollo.
• Retest incluido y certificado para clientes y auditorías (ISO 27001, SOC 2, PCI DSS, ENS, RGPD).

Preguntas frecuentes

Lee también

• ¿Cuánto cuesta un pentest en 2026?
• Qué es un pentest y qué tipos hay
• Errores de JWT y OAuth
• Checklist para contratar un pentest

Otros servicios