Pruebas de penetración y seguridad para SaaS
Para un negocio SaaS, la seguridad condiciona las ventas: los clientes potenciales piden tu SOC 2 y tu pentest antes de firmar. Probamos el aislamiento entre inquilinos, la aplicación web y sus API, y la nube en la que se ejecuta, y combinamos las pruebas con la preparación para la auditoría. Principalmente manual, bajo NDA y con una reevaluación gratuita dentro del plazo fijado en el SoW.
Qué está en juego en SaaS
El riesgo que define al SaaS es el aislamiento entre inquilinos: en una plataforma compartida, el peor de los casos permite que un cliente alcance los datos de otro. Junto a él se sitúan los problemas de web, API y configuración de la nube que deciden si tu plataforma es de fiar.
Aislamiento entre inquilinos
IDOR/BOLA entre inquilinos, en el que un cliente lee o modifica los datos de otro. Es el fallo multiinquilino de mayor impacto.
Autorización entre roles
Autorización rota a nivel de función y de objeto entre los roles de administrador, miembro y observador. Solo se detecta con pruebas multirrol.
Configuración incorrecta de la nube
IAM con permisos excesivos, almacenamiento público y registro deficiente. La mayor parte del riesgo en la nube está en la configuración, que no se ve desde fuera.
La barrera de venta de SOC 2
Sin preparación para SOC 2 ni un pentest creíble, los acuerdos con grandes empresas se estancan, porque el departamento de compras suele exigir ambas cosas antes de firmar.
Cómo probamos las plataformas SaaS
Nos centramos en lo que hace o deshace una plataforma SaaS: la aplicación web, la API multiinquilino probada a través de roles e inquilinos, la configuración de la nube sobre la que se ejecuta y la preparación para SOC 2 para que las pruebas se conviertan en evidencias que tus compradores acepten.
Fundamentado en los estándares que comprueban los compradores de SaaS
Las pruebas de aplicación y de API se alinean con OWASP WSTG v4.2, el OWASP API Security Top 10 (2023) y OWASP ASVS 5.0; la configuración de la nube se revisa frente a los CIS Benchmarks; la preparación para SOC 2 sigue los AICPA Trust Services Criteria. Ofrecemos preparación, evaluación de brechas y las pruebas de penetración de soporte; el informe SOC 2 lo emite una firma CPA independiente, no nosotros. Los hallazgos se puntúan con CVSS 3.1.
Qué puedes esperar de un proyecto SaaS
Vexaro también construye productos e infraestructura, además de probarlos. Por eso examinamos a fondo la lógica multiinquilino y escribimos informes con los que tus ingenieros pueden ponerse a trabajar. No nombramos a ningún cliente.
- Pruebas principalmente manuales de la aplicación web, sus API y el aislamiento entre inquilinos
- Pruebas multirrol y multiinquilino que sacan a la luz fallos de aislamiento
- Preparación para SOC 2 más las evidencias del pentest que tus compradores piden
- Informes con los que tus ingenieros pueden actuar, con una reevaluación gratuita de las correcciones dentro del plazo fijado en el SoW
- NDA antes de cualquier acceso; evidencias cifradas y luego eliminadas o devueltas