Tu aplicación es tan segura como la línea de código peor escrita que nadie ha leído.

Las herramientas encuentran patrones, y eso está bien: marcan una consulta concatenada o una dependencia con CVE. Lo que no hacen es entender tu lógica de negocio. No saben que ese endpoint devuelve la factura de otro cliente si cambias un identificador, porque sintácticamente el código es impecable. Los fallos de control de acceso, los abusos de flujo y las condiciones de carrera se encuentran leyendo, no escaneando. Nosotros usamos las herramientas como punto de partida; el trabajo por el que pagas empieza después.

Trabajamos de tres formas y eliges tú: cuenta de solo lectura en tu repositorio, copia comprimida del código entregada por canal cifrado, o análisis en un equipo dentro de tu entorno sin que el código salga de tu infraestructura. NDA firmado antes de recibir nada. Si necesitamos el historial de Git para buscar secretos borrados, lo pedimos explícitamente y te explicamos por qué.

Aplicaciones web y API en JavaScript y TypeScript, Python, PHP, Java, C#/.NET, Go y Ruby. Aplicaciones móviles Android e iOS bajo OWASP MASVS. Backend, microservicios y aplicaciones de escritorio. Código embebido, firmware y stacks poco habituales los valoramos en la sesión de dimensionado antes de comprometernos: preferimos decirte que no auditamos bien algo a cobrarte por una revisión superficial.

La modalidad Esencial cubre una aplicación de hasta 20.000 líneas en un repositorio; la Completa, hasta tres aplicaciones y unas 80.000 líneas. Contamos código propio, no dependencias ni ficheros generados automáticamente. Si al dimensionar vemos que te pasas, te lo decimos antes de firmar y ajustamos el precio, nunca a mitad de la auditoría.

Te llamamos el mismo día. No esperamos al informe final para avisar de un hallazgo crítico, y mucho menos si aparecen indicios de que alguien ya ha estado dentro. En ese caso paramos, te lo explicamos y decidimos contigo si esto se convierte en respuesta a incidente.

El informe incluye el cómo, no solo el qué: cada hallazgo lleva el fichero, la línea, el impacto y el fix concreto para tu lenguaje. En la modalidad Completa acompañamos a tu equipo durante la corrección y hacemos re-test a los 60 días para verificar que se cerró de verdad. Si prefieres que apliquemos nosotros los cambios sobre el código, se dimensiona como servicio aparte.

Sí. El informe documenta el estado real de la seguridad del código con fecha, alcance, metodología y evidencias, mapeado contra OWASP ASVS. Es lo que pide un cliente corporativo cuando audita tu ciclo de desarrollo antes de renovar contrato, lo que espera un auditor de ENS o ISO 27001 cuando pregunta por desarrollo seguro, y lo que valoran las aseguradoras en los cuestionarios de ciberriesgo.

10 días laborables desde que tenemos los accesos en la modalidad Esencial, 15 en la Completa. No prometemos 48 horas porque en 48 horas solo da tiempo a lanzar una herramienta y reenviarte el volcado. La parte que aporta valor —validar qué es explotable en tu caso— es precisamente la que lleva días.