Acceso y permisos
Probamos el inicio de sesión, la recuperación de cuentas y los permisos. Buscamos si alguien puede entrar a una cuenta ajena, ver información de otros usuarios o realizar acciones reservadas a un administrador.
Ethical hacking y pentesting
Detectar fallas antes de que las aprovechen
El ethical hacking, o hacking ético, permite comprobar cómo alguien podría aprovechar fallas en un sitio web, una aplicación móvil o sus APIs. En BlackDoor realizamos pentesting con autorización y entregamos evidencia, prioridades e indicaciones para corregir; la remediación y el retest se acuerdan en la propuesta.
Cuándo necesitas este servicio
¿Alguien podría acceder a datos o funciones que no le corresponden?
Vas a lanzar un sitio o aplicación, incorporar pagos o conectarlo con otro sistema.
Tu plataforma ya funciona y quieres conocer sus riesgos, o un cliente te pide una evaluación de seguridad.
Cambiaste permisos o funciones que permiten acceder a información de clientes, pagos o datos internos.
Qué hacemos
Qué incluye el servicio.
Compras y otras funciones clave
Probamos registros, compras, aprobaciones y carga de archivos. Revisamos si es posible saltarse un paso obligatorio, alterar una operación o usar estas funciones de una forma que perjudique al negocio.
Sitios, aplicaciones y conexiones
Evaluamos las versiones web y móviles que acordemos, junto con sus APIs: las conexiones que intercambian información con otros sistemas. Probamos si esas conexiones permiten obtener datos o ejecutar acciones sin el permiso adecuado.
Información expuesta en internet
Buscamos información técnica, archivos y funciones que puedan quedar accesibles sin querer. Acordamos qué sistemas podemos probar; si pertenecen a un proveedor externo, necesitamos su autorización.
La revisión en tu entorno
Tecnologías y alcance técnico.
Probamos tu sitio o aplicación con herramientas especializadas y revisión manual. Las pruebas se acuerdan y autorizan antes de ejecutarlas.
Sitios y aplicaciones
Las funciones que usan tus clientes: entrar a una cuenta, comprar o intercambiar información con otros sistemas.
WordPress
WooCommerce
React
Next.js
Datos y accesos
Los permisos y cuentas que determinan quién puede consultar, modificar o eliminar información.
PostgreSQL
Supabase
Firebase
Herramientas de evaluación
Apoyan las pruebas autorizadas y la validación manual de los hallazgos.
Burp Suite
Metasploit
Confirmamos las tecnologías y versiones de tu proyecto antes de definir la revisión.
WordPress, WooCommerce y desarrollos propios
Revisamos cómo funcionan los accesos, las cuentas y las conexiones entre sistemas. En un e-commerce, podemos incluir el flujo de compra dentro del alcance acordado.
Pruebas según el acceso disponible
Podemos probar desde fuera, con una cuenta de usuario o con información del desarrollo. Son las modalidades black-box, grey-box y white-box; elegimos la que responda a tu objetivo.
Referencias OWASP
Usamos referencias de seguridad de aplicaciones como OWASP para orientar la revisión. Comprobamos los hallazgos y explicamos sus consecuencias para tu negocio.
Un resultado para actuar
Qué recibes.
Un informe para tomar decisiones
Un resumen claro de las fallas encontradas y de cómo podrían afectar tus datos, ventas u operación. Tendrás las prioridades para decidir qué resolver primero con tu equipo.
Instrucciones para tu equipo técnico
Cada problema incluye evidencia, las partes afectadas, los pasos para reproducirlo y recomendaciones de solución. Tu equipo de desarrollo podrá entender la falla y trabajar en su corrección.
Cómo comprobar las correcciones
Indicamos qué se debe probar para verificar cada solución. Si contratas una segunda ronda de pruebas -llamada retest-, la propuesta especifica qué problemas revisaremos y en qué plazo.
Antes de comenzar dejamos por escrito qué trabajo haremos, qué recibirás y qué necesitamos de tu equipo.
Cómo trabajamos
Así trabajamos contigo.
Acordamos qué se prueba
Definimos los sitios o aplicaciones, las funciones y las cuentas que usaremos. Acordamos por escrito la autorización, los horarios y los límites de las pruebas con tu equipo.
Probamos y comprobamos las fallas
Combinamos pruebas manuales y herramientas para comprobar qué fallas se pueden aprovechar. Documentamos la evidencia y comunicamos a tu equipo los problemas relevantes durante el trabajo.
Ordenamos las correcciones
Presentamos los resultados a quienes toman decisiones y a quienes harán los cambios. Explicamos las prioridades y, si se contrató una segunda revisión, comprobamos las correcciones acordadas.
Preguntas frecuentes
Antes de empezar.
¿Ethical hacking y pentesting son lo mismo?
Ethical hacking significa buscar fallas de seguridad con autorización. El pentesting, o prueba de penetración, es una forma de hacerlo: simula ataques para comprobar qué podría conseguir un atacante. En BlackDoor lo aplicamos a sitios web, aplicaciones móviles y sus conexiones con otros sistemas.
¿Necesitan el código fuente?
No siempre. Podemos probar un sitio o aplicación en funcionamiento, con o sin cuentas de usuario. Si también necesitas revisar cómo se programó, podemos sumar una auditoría de código.
¿Pueden probar una aplicación que ya usan mis clientes?
Sí, podemos evaluar una aplicación publicada, también llamada en producción. Antes acordamos qué pruebas hacer, en qué horarios y con qué restricciones. Las pruebas que puedan interrumpir el servicio o modificar datos se planifican de forma específica.
¿Cómo se define el precio de un pentest?
Depende de cuántos sitios o aplicaciones evaluemos, sus funciones, tipos de usuario y conexiones con otros sistemas. La propuesta detalla las pruebas, los informes y si incluye una segunda revisión de las correcciones. Así sabes qué estás contratando.
¿Cuánto dura un pentest y qué necesitan para cotizarlo?
El plazo depende de las funciones, tipos de usuario, APIs y restricciones de la plataforma. Para cotizar, cuéntanos qué hace y qué quieres evaluar; después acordamos cuentas de prueba, accesos autorizados y fechas. No envíes contraseñas ni datos de clientes por el formulario.
¿Qué informe recibo y cómo se comprueban las correcciones?
Recibes un resumen de riesgos para decidir y el detalle técnico de los hallazgos, con evidencia, pasos para reproducirlos y recomendaciones. Si contratas un retest, definimos qué correcciones volveremos a probar y documentamos su resultado dentro de ese alcance.
Guías y recursos
Antes de decidir
Guía para decidirQué revisión de seguridad necesita tu empresaVer guía Guía para decidirUn cliente me pide un pentest: cómo prepararloVer guía ArtículoLas APIs también son parte de tu negocio: cómo revisar sus riesgosLeer artículo ArtículoSeguridad de aplicaciones móviles: qué revisar más allá de las pantallasLeer artículo ArtículoSeguridad del e-commerce: protege precios, cupones y confirmaciones de pagoLeer artículo
Solicita una propuesta
Cotizar este servicio¿Qué necesitas proteger?
Cuéntanos qué hace tu sitio o aplicación y qué te preocupa. Te ayudamos a definir el servicio y preparamos una propuesta con el trabajo, el plazo y el costo.