La mayoría de los propietarios no saben si su sitio web se puede hackear hasta que ocurre. Una prueba de penetración responde a esa pregunta en profundidad, pero es un proyecto con presupuesto. La comprobación gratuita es el primer paso: muestra si un atacante que no sabe nada de usted encuentra la forma de entrar.
Observamos el sitio web desde fuera, sin cuentas y sin acceso a su servidor, y comprobamos lo que es visible y accesible desde internet. Si no encontramos nada, recibe gratis un informe que lo indica. Si encontramos vulnerabilidades, le decimos cuántas hay y lo graves que son, y usted decide si compra el informe con los detalles y las correcciones.
01Alcance
Qué ponemos a prueba
HTTPS y TLS: versiones de protocolo, certificados, redirecciones
Cabeceras de seguridad y atributos de las cookies
Archivos e interfaces expuestos: copias de seguridad, archivos de configuración, carpetas de control de versiones, paneles de administración, páginas de depuración
Sistema de gestión de contenidos, plugins, frameworks y software del servidor con vulnerabilidades conocidas
Formularios y parámetros públicos: inyección y cross-site scripting, mediante peticiones de prueba inofensivas
Páginas de inicio de sesión, registro y recuperación de contraseña: protección frente a la adivinación y la enumeración
Información que revelan los mensajes de error, los mapas de código fuente (source map) y los metadatos
Registros DNS que protegen contra el correo electrónico falsificado: SPF, DKIM, DMARC
02Enfoque
Cómo se realiza el trabajo
01
Solicitud y autorización
Usted indica el sitio web y confirma que es su propietario o que actúa en nombre del propietario. Antes de que empiece la comprobación, el propietario, o una persona a la que el propietario haya autorizado, firma una autorización en la que figuran la dirección y las fechas de la comprobación.
02
Comprobación
Las herramientas trazan el mapa del sitio web y los especialistas verifican a mano cada sospecha y descartan las falsas alarmas. Sin acciones destructivas, sin pruebas de carga y sin intentos de leer los datos de sus visitantes.
03
Resultado
Recibe el resultado en el plazo de 1 a 5 días hábiles desde la firma de la autorización. Sin vulnerabilidades: el informe es gratuito. Con vulnerabilidades: una notificación con su número, su gravedad en la escala CVSS 4.0 y el precio del informe.
04
Informe y retest
Recibe el informe inmediatamente después del pago: cada hallazgo con evidencias, pasos para reproducirlo y una corrección. Una vez aplicadas las correcciones, volvemos a comprobar gratis cada hallazgo.
Clase de debilidad que hay detrás de cada hallazgo.
The MITRE Corporation
06Preguntas
Preguntas sobre este servicio
¿Por qué es gratuita la comprobación?
Porque cobramos por un resultado. Un sitio web sin vulnerabilidades no le cuesta nada a su propietario; un sitio web con vulnerabilidades nos da un informe que vale la pena comprar. Es el principio del bug bounty, aplicado a su sitio web con su permiso.
¿Y si decidimos no comprar el informe?
Entonces no nos debe nada. Lo que encontramos sigue siendo confidencial: no se lo facilitamos a nadie ni publicamos nada.
¿Cómo se determina el precio del informe?
Por el número de hallazgos y su gravedad en la escala CVSS 4.0. El precio figura en la notificación, antes de que usted decida, y es válido durante 30 días.
¿Necesitan acceso a nuestro servidor?
No. La comprobación se hace desde fuera, tal como un visitante ve el sitio web. Las pruebas con cuentas y roles son un servicio aparte: «Pentesting de aplicaciones web».
¿Puede la comprobación dañar el sitio web?
La comprobación no incluye acciones destructivas ni pruebas de carga. Si el sitio web se vuelve inestable, nos detenemos y nos ponemos en contacto con usted.
Un canal público y un proceso que funciona para los informes de vulnerabilidades que llegan de fuera: política, security.txt, recepción, triaje y divulgación coordinada.
Programas y aseguramiento
08Solicitud
Cuéntenos qué hay que probar
Comprobación gratuita del sitio web
Respuesta en el plazo de 1 día hábil
NDA antes de cualquier detalle técnico
Precio fijo en los proyectos de pago
Sin compromiso
Solicitud recibida
Referencia
Conserve la referencia: la citamos en todas las comunicaciones posteriores con usted.
Qué ocurre a continuación
Un gestor revisa la solicitud y responde en el plazo de 1 día hábil.
Acordamos el alcance, las reglas de enfrentamiento y un canal seguro para el material sensible.
Recibe una propuesta con el método, el calendario y un precio fijo. Para la comprobación gratuita del sitio web, recibe la autorización para su firma.
En la primera respuesta nunca pedimos pagos, contraseñas ni acceso remoto.