Pruebas de penetración de aplicaciones web
Un ataque controlado y principalmente manual contra tu aplicación web, tal como lo plantearía un atacante real. Alineamos la cobertura con la OWASP Web Security Testing Guide, verificamos los controles frente a OWASP ASVS y encadenamos rutas reales y explotables que los escáneres pasan por alto.
Qué probamos
La cobertura se basa en la OWASP Web Security Testing Guide (WSTG v4.2), cuya sección 4 define doce categorías de prueba, desde la autenticación y la autorización hasta la lógica de negocio y el lado del cliente. Ajustamos la profundidad a tu riesgo y a tu objetivo de aseguramiento, en modo black-box, grey-box o white-box.
- Autenticación, gestión de sesiones y autorización (control de acceso roto)
- Inyección, validación de entrada y deserialización insegura
- Fallos de lógica de negocio y diseño inseguro
- Fallos criptográficos y seguridad del transporte
- Configuración de seguridad incorrecta y gestión de errores expuesta
- Problemas de cliente (XSS, DOM, postMessage) y puntos de contacto con la API
Una metodología principalmente manual
Las herramientas automatizadas son útiles para la amplitud, pero la propia ASVS señala que no pueden verificar los requisitos más complejos ni los ligados a la lógica de negocio y al control de acceso. Lideramos con las pruebas manuales y usamos el instrumental como apoyo, siguiendo un flujo de proyecto estructurado.
- 1
Alcance y reglas de actuación
Acordamos los límites, el modelo de amenazas, las cuentas y la ventana de prueba, y firmamos un NDA antes de cualquier acceso.
- 2
Mapeo y enumeración
Mapeamos la aplicación, sus roles y sus puntos de entrada para planificar una cobertura guiada por la WSTG de toda la superficie alcanzable.
- 3
Pruebas manuales
Recorremos a mano las categorías de la WSTG: autenticación, autorización, inyección, lógica de negocio y más.
- 4
Explotación y encadenamiento
Confirmamos el impacto con una prueba de concepto y encadenamos problemas individualmente menores en rutas de ataque realistas.
- 5
Informe y reevaluación gratuita
Recibes un informe priorizado; después de que remedies, reevaluamos los problemas corregidos sin coste adicional, dentro del plazo fijado en el SoW.
Qué recibes
La misma profundidad de entregable que nuestro informe de muestra: un resumen ejecutivo más una entrada completa por cada hallazgo, con referencias mapeadas a estándares reconocidos para que la cobertura sea auditable.
- Resumen ejecutivo y postura de riesgo global para quienes toman decisiones
- Cada hallazgo: descripción, impacto, evidencia, pasos para reproducir y remediación
- Severidad puntuada con CVSS 3.1 y traducida a riesgo de negocio
- Referencias a CWE, el ID de prueba de la WSTG y el requisito ASVS correspondiente
- Hallazgos enmarcados en las categorías de riesgo del OWASP Top 10 2025
- Reevaluación gratuita de los problemas remediados dentro del plazo fijado en el SoW, recogida en un informe actualizado o un resumen de reevaluación
Fundamentado en estándares reconocidos de seguridad web
Mapeamos la cobertura a la OWASP WSTG v4.2 y verificamos frente a OWASP ASVS 5.0.0; ten en cuenta que ASVS 5.0 redefinió el nivel 1, así que elegimos el nivel de verificación según el riesgo en lugar de tratar el L1 como un aprobado de tipo black-box. El riesgo se enmarca en el OWASP Top 10 2025, y los hallazgos se puntúan con CVSS 3.1 (FIRST también publica la v4.0; indicamos la versión aplicada en cada hallazgo).