Pruebas de seguridad · Solo con permiso del propietario
¿Pueden hackear su sitio web? Lo comprobamos gratis.
Si no encontramos problemas, también recibe el informe gratis. Solo paga por el informe si encontramos problemas, y su precio depende de cuántos sean y de lo graves que sean. Ponemos a prueba sitios web, aplicaciones, infraestructura, sistemas de IA y contratos inteligentes como lo haría un atacante real.
La comprobación de su sitio web no cuesta nada. Si no encontramos vulnerabilidades, el informe también es gratuito. El informe solo se paga si encontramos vulnerabilidades, y su precio depende de cuántas sean y de su gravedad.
01
Usted envía la dirección
Y confirma que el sitio web es suyo. Antes de la comprobación, el propietario firma una autorización con la dirección y las fechas.
02
Comprobamos el sitio web
Desde fuera, tal como lo ve un atacante, en el plazo de 1 a 5 días hábiles desde la firma de la autorización. Sin acciones destructivas y sin carga para el servidor.
03
Recibe el resultado
Si no encontramos problemas: un informe gratuito. Si los encontramos: su número, su gravedad y el precio del informe. El informe llega inmediatamente después del pago; el retest después de las correcciones es gratuito.
La seguridad ofensiva solo es un servicio cuando está autorizada. Estas reglas se aplican a todos los proyectos y a todos los informes de bug bounty, sin excepciones.
01
Primero, la autorización por escrito
Las pruebas empiezan después de que el propietario de los activos haya firmado la autorización y el alcance. Verificamos que el firmante está facultado para firmar.
02
El alcance es un límite
Tocamos lo que figura en la lista y nada más. Los sistemas de terceros solo se prueban con el consentimiento de su operador.
03
Solo programas oficiales
En bug bounty trabajamos exclusivamente dentro de programas oficiales en plataformas consolidadas y cumplimos al pie de la letra la política de cada programa.
04
Evidencias antes que opiniones
Un hallazgo se comunica una vez reproducido. Va acompañado de la demostración, el impacto, un vector CVSS 4.0 y los pasos de corrección.
05
Huella mínima
Demostramos el impacto con la acción menos intrusiva, no tocamos los datos de producción y nos detenemos cuando se cumple una condición de parada.
06
Confidencial por defecto
Los hallazgos pertenecen al cliente. Nada se divulga ni se publica sin consentimiento por escrito.
03Servicios
Qué ponemos a prueba
Desde una sola aplicación web hasta una simulación de adversarios completa. Cada servicio tiene un método definido, un entregable definido y un precio que se fija antes de empezar el trabajo.
Evaluación de entornos AWS, Azure, Google Cloud y Kubernetes: identidades, exposición de red, almacenes de datos y rutas desde un primer punto de apoyo hasta el control total.
Pruebas de penetración externas e internas de redes y Active Directory: desde un servicio expuesto o un único puesto de trabajo hasta el control del dominio.
Una simulación de un adversario real, orientada a objetivos, contra personas, procesos y tecnología, para comprobar si un ataque se detectaría y se detendría.
Campañas controladas de phishing, llamadas y mensajería que miden cómo responden las personas y los procesos, con resultados por grupo y nunca por nombre.
Pruebas adversarias de aplicaciones con LLM, agentes e integraciones MCP: inyección de prompts, fuga de datos, abuso de herramientas y escape de la tarea prevista.
Auditoría línea a línea de contratos inteligentes y de la lógica del protocolo antes del despliegue: revisión manual, pruebas de invariantes y revisión de las correcciones.
Un canal público y un proceso que funciona para los informes de vulnerabilidades que llegan de fuera: política, security.txt, recepción, triaje y divulgación coordinada.
Pruebas de penetración con un alcance y una documentación que sirven de evidencia para PCI DSS, SOC 2, ISO/IEC 27001, DORA y NIS2.
Programas y aseguramiento
04Proceso de trabajo
De la solicitud a la corrección verificada
Así transcurre un proyecto de pago. Cada paso termina con un documento que usted conserva.
01
Solicitud
Usted describe los sistemas y el objetivo. Un gestor responde en el plazo de 1 día hábil.
Referencia de la solicitud
02
Definición del alcance
Acordamos los activos, las exclusiones, las ventanas de pruebas, las cuentas y los contactos. Recibe una propuesta con la metodología y un precio fijo.
Propuesta
03
Autorización
Se firman el acuerdo de confidencialidad (NDA), el contrato y la carta de autorización. Se comprueban las políticas de pruebas de sus proveedores de alojamiento y de nube.
Carta de autorización, reglas de enfrentamiento
04
Pruebas
Pruebas manuales con apoyo de herramientas. Los hallazgos de gravedad crítica y alta se comunican en el plazo de 24 horas desde la confirmación, sin esperar al informe final.
Notificaciones urgentes de hallazgos
05
Informe y presentación de resultados
Un resumen ejecutivo para la dirección, el detalle técnico para los ingenieros y una llamada para repasarlo con ambos.
Informe
06
Retest
Una vez desplegadas las correcciones, volvemos a comprobar cada hallazgo en el plazo de 60 días desde la entrega del informe y emitimos una carta acreditativa (attestation letter).
El informe es el producto. Un segundo especialista lo revisa antes de que le llegue a usted.
Resumen ejecutivo
El riesgo en términos de negocio, el estado del sistema y las prioridades, en dos páginas.
Alcance y método
Qué se probó, cuándo, desde dónde, con qué cuentas y qué quedó fuera del alcance.
Hallazgos
Una entrada por problema: descripción, evidencias, reproducción, impacto, vector CVSS 4.0, CWE, corrección.
Rutas de ataque
Cómo debilidades separadas se encadenan hasta comprometer el sistema, paso a paso.
Plan de corrección
Correcciones ordenadas por el riesgo que eliminan y el esfuerzo que requieren.
Resultados del retest
El estado de cada hallazgo después de la corrección y la carta acreditativa.
06Modelos de colaboración
Formas de trabajar con nosotros
El modelo depende de la madurez del sistema y del ritmo de sus lanzamientos.
Comprobación gratuita del sitio web
Una comprobación externa de un sitio web. Así sabe si está expuesto a ataques habituales antes de gastar nada.
Adecuado para
Un primer vistazo a la seguridad de un sitio web público.
Precio
Gratuita. El informe solo se paga si se encuentran vulnerabilidades; su precio depende de cuántas sean y de su gravedad.
Evaluación de alcance fijo
Un conjunto definido de activos se prueba una vez, con un informe y un retest.
Adecuado para
Lanzamientos, auditorías, due diligence, plazos de cumplimiento.
Precio
Precio fijo por el alcance acordado.
Pruebas continuas
Un equipo estable prueba cada cambio significativo y vuelve a examinar el perímetro según un calendario.
Adecuado para
Productos que publican versiones cada semana.
Precio
Cuota mensual por un volumen de pruebas acordado.
Pago por resultados
Una búsqueda privada y de duración limitada a cargo de nuestro equipo. Usted paga por las vulnerabilidades confirmadas según una tabla de recompensas acordada de antemano.
Adecuado para
Sistemas maduros que ya se han probado antes.
Precio
Recompensa por hallazgo confirmado, con un límite de presupuesto.
Gestión de programas
Diseñamos, lanzamos y gestionamos su programa de bug bounty o de divulgación: política, alcance, triaje y comunicación con los investigadores.
Adecuado para
Empresas que se abren a investigadores externos.
Precio
Cuota de puesta en marcha y cuota mensual de gestión.
07Bug bounty
Una plataforma donde las vulnerabilidades se pagan de forma oficial
Los propietarios publican programas e indican la recompensa. Los investigadores notifican las vulnerabilidades a través de nosotros y cobran de nosotros. Verificamos al propietario, examinamos cada informe y respondemos del dinero.
Un programa solo se publica después de que su propietario haya demostrado con documentos que el sistema es suyo.
El propietario fija las recompensas. El investigador recibe la recompensa íntegra.
Nuestra comisión es del 20 % de cada recompensa y la paga el propietario.
Cada informe se examina, se reproduce y se valora en la escala CVSS 4.0.
Un informe queda entre el investigador, el propietario y nosotros.
08Estándares
Métodos que puede consultar
Trabajamos conforme a estándares públicos, indicamos la versión y asociamos los hallazgos a ellos. Seguir un estándar no es lo mismo que estar certificado conforme a él: una certificación solo figura en este sitio junto con un enlace donde puede verificarse.
¿De verdad es gratuita la comprobación del sitio web?
Sí. La comprobación en sí no cuesta nada, y el informe tampoco cuando no se encuentran vulnerabilidades. Cuando encontramos vulnerabilidades, usted recibe gratis su número y su gravedad y decide si compra el informe; su precio depende del número y de la gravedad de los hallazgos.
¿Son legales las pruebas de penetración?
Sí, cuando el propietario del sistema las ha autorizado por escrito. Sin autorización, las mismas acciones constituyen un delito en la mayoría de las jurisdicciones. Por eso cada proyecto empieza con una carta de autorización y un alcance, y por eso verificamos que el firmante está facultado para firmar.
¿Qué diferencia hay entre una prueba de penetración y un bug bounty?
Una prueba de penetración es una evaluación de duración limitada que un equipo contratado realiza sobre un alcance acordado, con un informe que abarca todo lo probado. Un bug bounty es un programa sin fecha de finalización en el que investigadores independientes reciben recompensas por hallazgos válidos. La primera aporta aseguramiento en un momento concreto; el segundo, descubrimiento continuo. Las organizaciones maduras usan ambos.
¿Afectarán las pruebas a producción?
Las reglas de enfrentamiento (rules of engagement) definen lo que está permitido: ventanas de pruebas, frecuencia de las peticiones, técnicas excluidas y condiciones de parada. Las pruebas de denegación de servicio nunca se realizan salvo que usted las solicite por escrito. Si observamos inestabilidad, nos detenemos y llamamos a su persona de contacto.
¿Cómo se determina el precio?
Por el tamaño y la complejidad del alcance, la profundidad de las pruebas y el acceso proporcionado. Tras la definición del alcance recibe un precio fijo; no cambia salvo que cambie el alcance.
¿Qué ocurre con nuestros datos?
Recogemos las evidencias mínimas necesarias para demostrar un hallazgo. Los datos de trabajo se almacenan cifrados y se destruyen 30 días después del cierre del proyecto. Los informes se entregan a través de un canal seguro acordado de antemano.
¿Firman un acuerdo de confidencialidad (NDA)?
Sí. El NDA se firma antes de que usted comparta cualquier detalle sobre sus sistemas.