Probamos su aplicación web y su API usuario por usuario y rol por rol, que es donde aparecen las fallas graves. Entregamos un informe que puede mostrar a un auditor y volvemos a probar cuando haya corregido.
Las fallas que más daño hacen en una aplicación moderna no son las que encuentra un escáner. Son fallas de autorización y de lógica: un cliente que puede ver los pedidos de otro cambiando un número, un operador que puede ejecutar funciones de administrador, un token que nunca expira o un flujo de pago que acepta un precio enviado por el navegador.
Para encontrarlas hay que entender cómo funciona la aplicación y probarla a mano, con varias cuentas y varios roles a la vez. Eso es lo que hacemos, siguiendo una metodología pública para que el resultado sea comparable y auditable.
Danny, el fundador, tiene dos hallazgos de severidad Critical validados en programas de bug bounty, encontrados con este mismo tipo de pruebas manuales.
Incluido
Fuera de alcance
| Entregable | Qué contiene |
|---|---|
| Informe ejecutivo | Riesgo general en lenguaje de negocio, hallazgos por severidad y recomendaciones para la gerencia. |
| Informe técnico | Cada hallazgo con CVSS 4.0 y vector, CWE, categoría OWASP, pasos de reproducción, evidencia enmascarada, impacto y corrección con código de ejemplo en su stack. |
| Plan de remediación priorizado | Orden sugerido, responsable, esfuerzo estimado y plazo por hallazgo. |
| Retest incluido | Verificación de las correcciones y anexo con el estado de cada hallazgo. |
| Reunión de cierre | Con el equipo técnico y, si lo desea, una versión breve para la gerencia. |
Desde USD 1.490, con una duración típica de 8 a 12 días hábiles. Precio sin IVA. Incluye un retest, a solicitar dentro de los 30 días posteriores a la entrega del informe.
Qué sube el precio
Por defecto trabajamos en caja gris: con cuentas de prueba y la documentación de la API. Es el punto que mejor equilibra costo y profundidad. Caja blanca, con acceso al código, encuentra más en menos tiempo y se cotiza aparte.
Entre 3 y 5 días hábiles después de terminar las pruebas. Los hallazgos de severidad Critical se comunican el mismo día en que se confirman.
El informe sigue estándares reconocidos y documenta alcance, metodología, limitaciones y resultados, que es lo que suelen pedir. Si el requisito exige una firma acreditada específica, se lo decimos antes de cotizar.
Sí. Como el fundador también desarrolla y opera sistemas en producción, podemos aplicar la corrección en su código o acompañar a su equipo. Se cotiza por hora o por paquete sobre el informe.
Actuamos como encargados del tratamiento según la LOPDP. Accedemos a lo mínimo para demostrar un hallazgo, guardamos la evidencia cifrada y la eliminamos en el plazo acordado, por defecto 30 días después del retest.
Está escrito en el contrato: usted recibe en 48 horas todo el avance (hallazgos confirmados, evidencia y notas de prueba) y la devolución del saldo no ejecutado.
Siguiente paso
Entendemos su sistema, lo que le preocupa y el plazo, y le decimos si podemos ayudar. La llamada no tiene costo y no compromete a nada.