Tu app se puede descargar, descompilar y leer entera. La pregunta es qué encuentra quien lo hace.

Nos basta con la app publicada. Trabajamos con el APK de Android o el IPA de iOS tal y como cualquiera los descarga de la tienda, porque ese es exactamente el punto de partida de un atacante: descompila el binario, lee cómo funciona por dentro y observa qué envía en ejecución. Si además nos das acceso al código fuente, la revisión es más profunda y más rápida, pero no es un requisito para empezar. Lo acordamos en la sesión de dimensionado.

Las dos. La modalidad Esencial cubre una app en una plataforma, Android o iOS a tu elección. La Completa cubre la misma app en ambas plataformas más la API del backend con la que se comunica, porque muchos fallos no están en la app sino en cómo el servidor confía en ella. Cada plataforma tiene sus propios riesgos: el almacenamiento y los componentes exportados pesan más en Android, y el uso del llavero y las protecciones del binario en iOS.

La auditoría de código fuente lee tu repositorio línea a línea: necesita que nos des acceso al código y se centra en cómo está escrito. La auditoría móvil analiza la app compilada como la recibe un usuario desde la tienda y, sobre todo, cómo se comporta en ejecución: qué guarda en el dispositivo, qué envía por la red, si cifra bien y si el binario está protegido frente a manipulación. Se complementan. Si tu producto es una app, esta es la que responde a la pregunta que hace un atacante: «¿qué saco si me descargo y desmonto tu aplicación?».

Sí. El análisis estático —decompilar el binario, revisar el manifiesto, buscar secretos— es solo la mitad. La otra mitad es dinámica: ejecutamos la app en un dispositivo o emulador controlado, observamos el tráfico real hacia el backend, comprobamos qué queda escrito en el almacenamiento local y verificamos si las protecciones (certificate pinning, detección de root o jailbreak, anti-tampering) resisten. Muchos fallos solo aparecen cuando la app está corriendo, no leyendo el código.

En la modalidad Completa auditamos también la API con la que se comunica la app, bajo OWASP API Top 10. Es donde aparecen algunos de los fallos más graves: una app puede estar impecable y aun así el servidor devolver datos de otro usuario si cambias un identificador, porque confía en que la petición viene de la app legítima. Si solo contratas la Esencial, revisamos cómo la app usa la API, pero la auditoría en profundidad del backend entra en la Completa o se dimensiona aparte.

Sí. El informe se mapea contra OWASP MASVS y documenta el estado real de la seguridad de la app con fecha, alcance, metodología y evidencias. Es lo que piden las tiendas cuando cuestionan una publicación por permisos o tratamiento de datos, lo que exige un cliente de banca o seguros antes de integrar tu app, y lo que espera un auditor de ENS, NIS2 o ISO 27001 cuando pregunta por el desarrollo seguro de tus aplicaciones móviles.

El informe incluye el cómo, no solo el qué: cada hallazgo lleva dónde está, el impacto y el fix concreto para Android o iOS según corresponda. En la modalidad Completa acompañamos a tu equipo durante la corrección y hacemos re-test a los 60 días para verificar que se cerró de verdad. Si prefieres que apliquemos nosotros los cambios sobre la app, se dimensiona como servicio aparte.

8 días laborables desde que tenemos la app en la modalidad Esencial, 12 en la Completa. No prometemos 48 horas porque en 48 horas solo da tiempo a pasar un escáner y reenviarte el volcado. La parte que aporta valor —ejecutar la app, ver su tráfico real y validar qué es explotable en tu caso— es precisamente la que lleva días.