Santiago Passafiume
Escribime

Pruebas de seguridad

Pruebas de penetración de aplicaciones web y APIs

Pruebo tu aplicación web o tu API como lo haría un atacante: busco formas de saltear la autenticación, acceder a datos de otros usuarios, inyectar código o abusar de la lógica de negocio. Los escáneres automáticos son un punto de partida; los hallazgos que importan suelen necesitar una persona. Sigo la OWASP Web Security Testing Guide (WSTG v4.2), cubro el OWASP API Security Top 10 (2023) y verifico contra el OWASP ASVS 5.0.

Escribime

Se cotiza a medida, según el alcance.

Qué incluye

  • Autenticación, sesiones y recuperación de contraseñas.
  • Control de acceso entre usuarios, roles y clientes.
  • Inyección, carga de archivos y falsificación de peticiones del lado del servidor (SSRF).
  • Lógica de negocio: flujos que se pueden abusar aunque cada paso parezca correcto.
  • Endpoints de la API, tokens y los datos que exponen.

Qué recibís

  • Un informe escrito con cada hallazgo, su severidad según CVSS v4.0, cómo reproducirlo y cómo corregirlo.
  • Un resumen ejecutivo para las personas no técnicas.
  • Una reunión para repasar los resultados con tu equipo.
  • Una nueva prueba de los hallazgos corregidos sin costo adicional, dentro de los 90 días del informe.

Para quién es

  • Productos a punto de lanzarse o después de un cambio importante.
  • Empresas que manejan datos personales o financieros.
  • Equipos que necesitan una prueba independiente para mostrarle a un cliente o socio.

No incluye

  • Probar sistemas sin autorización escrita de su dueño.
  • Ataques de denegación de servicio o cualquier acción que pueda afectar la disponibilidad de producción.
  • Ingeniería social sobre tu personal, salvo acuerdo por escrito.

Proceso

Cómo trabajo

  1. Alcance y autorización

    Definimos qué probar, cómo y cuándo. Nada empieza sin tu autorización por escrito.

  2. Pruebas

    Pruebas y revisión manuales, apoyadas en herramientas. Si encuentro algo crítico, te aviso en el momento.

  3. Informe

    Recibís cada hallazgo calificado con CVSS v4.0, con los pasos para reproducirlo y la corrección recomendada.

  4. Seguimiento

    Repaso los resultados con tu equipo y vuelvo a probar las correcciones sin costo adicional, si la pedís dentro de los 90 días del informe.

Preguntas frecuentes

¿Probás en producción?

Preferentemente en un entorno de prueba que replique producción. Si tiene que ser en producción, primero acordamos por escrito los límites y los horarios.

¿Tengo que darte el código fuente?

No. Puedo probar sin información previa o con cuentas de usuario y documentación. El acceso al código hace la prueba más completa; lo decidimos al definir el alcance.

Otros servicios

Ver servicios

¿Tenés un sistema para probar o revisar? Mandame el alcance

Contame qué necesitás probar (aplicaciones, APIs o entornos), para cuándo y si hay alguna restricción, y te respondo con los próximos pasos. Trabajo en español y en inglés.

¿Buscás desarrollo? Los sitios web, las aplicaciones y los proyectos backend se hacen a través de RyuLabs.