Aplicaciones web y APIs
Evaluamos autenticación, permisos y flujos de negocio en la aplicación y sus APIs.
Qué examinamos
Identidad y sesiones
Inicio de sesión, recuperación de contraseñas, gestión de sesiones y cambios de acceso.
Roles y aislamiento entre empresas
Control de acceso horizontal y vertical entre empresas, usuarios y objetos sensibles.
APIs y lógica de negocio
Autorización, abuso de flujos, tratamiento de entradas e interacciones entre servicios.
Exposición de datos
Archivos, exportaciones, respuestas sensibles y vías de divulgación no prevista.
Cuándo aporta valor
Utilizamos cuentas con distintos roles y empresas para evaluar facturación, integraciones y otros flujos. Comprobamos cómo cambia el acceso entre usuarios y dónde fallan los permisos.
Información para preparar el presupuesto
URLs de la aplicación y las APIs, funciones principales, roles, estructura multiempresa, autenticación y documentación de las APIs. Facilita cuentas de cada rol e indícanos si hay webhooks, procesamiento de archivos, pagos o dependencias externas.
Evidencias incluidas
La cuenta y el rol, la petición o el flujo, la decisión de acceso esperada y el resultado observado. Cuando sea seguro y esté acordado, demostramos el impacto con datos ficticios. El informe detalla la cobertura y las funciones no evaluadas.
Alcance, pruebas e informe.
Después, verificamos las correcciones.
Alcance, pruebas, informe y verificación, con contacto directo con el pentester.
Acordamos el alcance.
Aplicaciones, roles, accesos y plazos. Acordamos alcance, precio y entregables antes de empezar.
Realizamos la evaluación.
Comprobamos los controles y sus flujos de trabajo. Comunicamos los hallazgos importantes durante las pruebas.
Documentamos los hallazgos.
Hallazgos reproducibles, impacto demostrado y recomendaciones prácticas para desarrollo.
Verificamos las correcciones.
Comentamos las correcciones y verificamos los cambios acordados. Las condiciones de verificación figuran en la propuesta.