Solicitud
Usted describe los sistemas y el objetivo mediante el formulario de este sitio.
- Usted
- Describe el sistema, el objetivo y el plazo.
- Nosotros
- Respondemos en el plazo de 1 día hábil con preguntas y una hora para una llamada.
Llamada de definición del alcance
Una conversación con un especialista técnico, con un acuerdo de confidencialidad (NDA) si lo desea.
- Usted
- Muestra el sistema e indica las restricciones.
- Nosotros
- Proponemos el alcance, la profundidad y el tipo de prueba.
Propuesta
Un documento con el alcance, el método, el calendario, el equipo y un precio fijo.
- Usted
- Revisa la propuesta y la aprueba.
- Nosotros
- Respondemos a las preguntas y ajustamos el alcance al presupuesto.
Autorización
Se firman el contrato, el NDA, la carta de autorización y las reglas de enfrentamiento. Se recogen los consentimientos de terceros.
- Usted
- Firma como propietario de los activos; facilita las cuentas y los contactos.
- Nosotros
- Verificamos la facultad para firmar; comprobamos las políticas de pruebas de sus proveedores.
Pruebas
El trabajo empieza en la fecha acordada. Usted dispone de un canal directo con el especialista que dirige las pruebas.
- Usted
- Mantiene localizables a las personas de contacto; nos informa de los cambios en el sistema.
- Nosotros
- Probamos, comunicamos los hallazgos urgentes en el plazo de 24 horas desde la confirmación y enviamos actualizaciones de estado.
Informe, presentación de resultados y retest
El informe se entrega a través de un canal seguro y se presenta en una llamada. Después de sus correcciones, se vuelve a comprobar cada hallazgo.
- Usted
- Corrige y solicita el retest en el plazo de 60 días desde la entrega del informe.
- Nosotros
- Hacemos el retest, emitimos la carta acreditativa (attestation letter) y destruimos los datos de trabajo 30 días después del cierre del proyecto.
Qué ocurre después de enviar la solicitud
Sin sorpresas: cada paso, quién hace qué y el documento que lo cierra.
01Pasos
Paso a paso: quién hace qué
02Modelos
Modelos de colaboración
El modelo depende de la madurez del sistema y del ritmo de sus lanzamientos.
Comprobación gratuita del sitio web
Una comprobación externa de un sitio web. Así sabe si está expuesto a ataques habituales antes de gastar nada.
- Adecuado para
- Un primer vistazo a la seguridad de un sitio web público.
- Precio
- Gratuita. El informe solo se paga si se encuentran vulnerabilidades; su precio depende de cuántas sean y de su gravedad.
Evaluación de alcance fijo
Un conjunto definido de activos se prueba una vez, con un informe y un retest.
- Adecuado para
- Lanzamientos, auditorías, due diligence, plazos de cumplimiento.
- Precio
- Precio fijo por el alcance acordado.
Pruebas continuas
Un equipo estable prueba cada cambio significativo y vuelve a examinar el perímetro según un calendario.
- Adecuado para
- Productos que publican versiones cada semana.
- Precio
- Cuota mensual por un volumen de pruebas acordado.
Pago por resultados
Una búsqueda privada y de duración limitada a cargo de nuestro equipo. Usted paga por las vulnerabilidades confirmadas según una tabla de recompensas acordada de antemano.
- Adecuado para
- Sistemas maduros que ya se han probado antes.
- Precio
- Recompensa por hallazgo confirmado, con un límite de presupuesto.
Gestión de programas
Diseñamos, lanzamos y gestionamos su programa de bug bounty o de divulgación: política, alcance, triaje y comunicación con los investigadores.
- Adecuado para
- Empresas que se abren a investigadores externos.
- Precio
- Cuota de puesta en marcha y cuota mensual de gestión.
03Precio
Qué determina el precio
No publicamos una lista de precios, porque dos aplicaciones del mismo tipo pueden diferir diez veces en tamaño. Deciden estos factores. Tras la definición del alcance, el precio queda fijado.
Tamaño del alcance
El número de aplicaciones, roles, endpoints, hosts, contratos o líneas de código.
Profundidad
Una evaluación básica de las debilidades habituales o una prueba en profundidad que incluye la lógica y el encadenamiento.
Acceso
Las pruebas con cuentas, documentación y código fuente encuentran más por día que las pruebas a ciegas.
Restricciones
Las ventanas nocturnas, las pruebas solo en producción y el trabajo presencial añaden esfuerzo.
Evidencias
Secciones de cumplimiento, pruebas de segmentación y cartas acreditativas para terceros.
Urgencia
Empezar en cuestión de días implica reorganizar otros trabajos.
El precio de la propuesta es fijo. Solo cambia si cambia el alcance, y solo con su aprobación por escrito. La comprobación del sitio web es gratuita: sus condiciones y el precio de su informe se establecen en las condiciones de la comprobación gratuita de seguridad web.
04Documentos
Qué firma y por qué
Los documentos son lo que distingue una prueba de penetración de una intrusión.
Acuerdo de confidencialidad
Se firma antes de que usted comparta cualquier detalle. Cubre todo lo que lleguemos a saber, incluido el hecho de que usted es cliente.
Contrato
Alcance, calendario, precio, responsabilidad, confidencialidad y protección de datos.
Carta de autorización
La declaración del propietario de los activos que permite la prueba. Indica los activos, las fechas y las personas que realizan las pruebas, y es lo que hace legal la prueba.
Reglas de enfrentamiento
Técnicas permitidas y excluidas, ventanas de pruebas, condiciones de parada, contactos y tratamiento de los datos sensibles.
Consentimientos de terceros
Proveedores de alojamiento, de nube y de SaaS cuyos sistemas se ven afectados. Comprobamos sus políticas de pruebas y obtenemos el consentimiento cuando es necesario.
Contrato de encargo del tratamiento
Cuando puedan encontrarse datos personales: las condiciones del tratamiento conforme a la ley de protección de datos que le sea aplicable.
05Solicitud
Cuéntenos qué hay que probar
- Comprobación gratuita del sitio web
- Respuesta en el plazo de 1 día hábil
- NDA antes de cualquier detalle técnico
- Precio fijo en los proyectos de pago
- Sin compromiso
Solicitud recibida
Referencia
Conserve la referencia: la citamos en todas las comunicaciones posteriores con usted.
Qué ocurre a continuación
- Un gestor revisa la solicitud y responde en el plazo de 1 día hábil.
- Acordamos el alcance, las reglas de enfrentamiento y un canal seguro para el material sensible.
- Recibe una propuesta con el método, el calendario y un precio fijo. Para la comprobación gratuita del sitio web, recibe la autorización para su firma.
En la primera respuesta nunca pedimos pagos, contraseñas ni acceso remoto.