Encuentra las vulnerabilidades de tu código antes que un atacante.
Auditoría profesional de código fuente con análisis estático (SAST), análisis dinámico (DAST) y revisión manual experta. Detectamos fallos críticos antes de que lleguen a producción.
Cada línea de código es una posible puerta de entrada.
Un solo fallo en validación de entrada, autenticación o gestión de sesiones puede comprometer todo el sistema. Y la mayoría de vulnerabilidades que llegan a producción podrían haberse detectado revisando el código a tiempo.
De los proyectos auditados tienen vulnerabilidades
Según el Open Source Security Risk Analysis Report, el 96% de las bases de código auditadas contienen al menos una vulnerabilidad. Y el 48% son críticas o de alto riesgo.
De media para detectar y contener una brecha
Cada día sin detectar una vulnerabilidad explotada multiplica las pérdidas: datos exfiltrados, sanciones GDPR, pérdida de clientes y de reputación de marca.
Más caro corregir un fallo en producción
Detectar y arreglar un bug de seguridad en fase de desarrollo cuesta hasta 100 veces menos que hacerlo cuando ya está en producción y un cliente lo ha encontrado.
Esto es exactamente lo que recibes.
Cada hallazgo viene con descripción, impacto, código vulnerable, CVSS y recomendación de fix. No frases vagas: el desarrollador sabe qué cambiar y dónde.
email se concatena directamente a la consulta SQL sin parametrización. Un atacante puede extraer toda la base de datos de usuarios.name se renderiza sin escapar HTML, permitiendo inyección de scripts maliciosos que comprometen las sesiones de los administradores que revisan los mensajes.Análisis automatizado + revisión manual experta.
Las herramientas automatizadas detectan patrones conocidos. Pero los errores lógicos, los problemas de autorización o las cadenas de explotación complejas necesitan ojos humanos. Combinamos ambos.
Análisis estático (SAST)
Examen del código sin ejecutarlo con SonarQube, Checkmarx o Semgrep. Detecta inyecciones, XSS, deserialización insegura, hardcoded secrets y patrones vulnerables OWASP Top 10.
Análisis dinámico (DAST)
Ejecutamos la aplicación y la atacamos en tiempo real. Detectamos fallos de configuración, vulnerabilidades runtime y comportamientos inesperados que no se ven en código estático.
Revisión manual experta
Auditor senior leyendo línea por línea las áreas críticas: autenticación, autorización, criptografía, gestión de sesiones y lógica de negocio. Aquí encontramos lo que las herramientas no ven.
Análisis de dependencias (SCA)
Revisamos cada librería de terceros con Snyk y OWASP Dependency-Check. Identificamos CVE conocidos y licencias incompatibles antes de que afecten a tu producto.
Secrets & configuración
Buscamos credenciales, API keys, tokens y claves privadas filtrados en el repositorio. También revisamos archivos de configuración, IaC (Terraform, Ansible) y manifiestos Kubernetes.
Cumplimiento normativo
Verificamos que el código cumple con los requisitos de OWASP ASVS, ISO 27001, ENS, NIS2 y RGPD. Te entregamos la documentación lista para auditorías externas.
De la firma del NDA al informe en 7-12 días.
Sin sorpresas, sin plazos abiertos, sin sobrecostes. Nuestro proceso está pensado para minimizar tu carga y maximizar lo que aprendes.
Llamada & NDA
Entendemos tu stack, tu modelo de amenaza y tu nivel de criticidad. Firmamos NDA antes de tocar nada.
Auditoría
SAST + DAST + revisión manual del auditor senior asignado. Te avisamos en cuanto detectamos algo crítico.
Informe
Recibes el informe ejecutivo + técnico detallado + plan de remediación priorizado por riesgo.
Re-auditoría
Una vez aplicados los fixes, revisamos los hallazgos sin coste adicional para confirmar que están cerrados.
Auditoría de código fuente desde solo 2.895€.
Tres paquetes con alcance claro y precio fijo desde el primer día. Sin tarifas por hora ni costes ocultos.
SAST Automatizado
Para PYMEs y startups que necesitan un diagnóstico rápido del estado de seguridad de su código base.
- Análisis estático SAST con SonarQube + Semgrep
- Análisis de dependencias (SCA) con Snyk
- Detección de secretos en el repositorio
- Informe básico (PDF) con hallazgos priorizados
- Plan de remediación con CVSS por hallazgo
- Análisis dinámico DAST
- Revisión manual experta
- Re-auditoría tras aplicar fixes
SAST + Revisión Manual Parcial
Para PYMEs medianas y empresas SaaS que necesitan un análisis profundo antes de un lanzamiento o auditoría externa.
- Todo lo del pack Starter
- Revisión manual parcial de un auditor senior
- Análisis de módulos críticos: auth, autorización, criptografía
- Verificación OWASP Top 10 + ASVS Nivel 1
- Informe ejecutivo + técnico detallado
- Reunión de presentación de resultados
- DAST completo (opcional, +)
- Re-auditoría tras fixes (opcional, +)
Auditoría Completa + Continua
Para grandes empresas, organizaciones reguladas o productos con normativa exigente y ciclos de release rápidos.
- Todo lo del pack Professional
- Análisis dinámico DAST completo (app en ejecución)
- Revisión manual exhaustiva línea a línea
- Múltiples repositorios y entornos
- OWASP ASVS Nivel 3 + cumplimiento NIS2
- Threat modeling completo
- Integración SAST/DAST en CI/CD
- Re-auditoría tras fixes (incluida)
- Auditor senior en Slack / Teams
Un cambio medible en la postura de seguridad de tu código.
Lo que nos preguntan antes de contratar.
El precio arranca desde 2.895€ + IVA para el pack Starter (SAST automatizado + informe básico, hasta 10.000 LOC, ideal para PYMEs y startups). El pack Professional con SAST + revisión manual parcial cuesta desde 6.749€ (hasta 50.000 LOC, para PYMEs medianas y SaaS). Para proyectos enterprise o auditorías recurrentes elaboramos propuestas personalizadas según tamaño del repositorio, lenguajes y criticidad.
Una auditoría estándar entre 30.000 y 100.000 líneas se entrega en 7 a 10 días laborables. Proyectos más grandes o con múltiples repositorios pueden requerir 2-4 semanas. Te damos plazo cerrado tras la llamada de descubrimiento inicial.
Trabajamos con todos los lenguajes y frameworks principales: Java, .NET, Python, PHP, Node.js, Go, Ruby, JavaScript/TypeScript, Kotlin, Swift, C/C++. También auditamos infraestructura como código (Terraform, Ansible) y configuraciones de contenedores (Docker, Kubernetes).
Aplicamos OWASP Top 10, OWASP ASVS, CWE/SANS Top 25, NIST SSDF y los requisitos de ISO 27001 y ENS. Las herramientas que usamos incluyen SonarQube, Checkmarx, Semgrep, Snyk y Fortify, complementadas siempre con revisión manual de un auditor senior.
Recibes un informe ejecutivo para dirección, un informe técnico detallado por cada hallazgo (descripción, impacto, evidencia, fragmento de código vulnerable, CVSS y recomendación de fix) y un plan de remediación priorizado por riesgo. Incluimos una reunión de presentación de resultados sin coste adicional.
Sí, necesitamos acceso de solo lectura al repositorio durante la auditoría. Firmamos un NDA antes de empezar y todo el código se analiza en entornos aislados de Jiratek. Una vez entregado el informe, eliminamos cualquier copia local.
Sí, está incluida en el pack Enterprise. En el pack Professional la re-auditoría es opcional (con coste reducido). Una vez tu equipo ha aplicado las correcciones del plan de remediación, revisamos los hallazgos cerrados y te entregamos un certificado de remediación que puedes adjuntar a auditorías ISO 27001 o ENS.
Audita tu código antes que un atacante.
Cuéntanos sobre tu aplicación y en menos de 24h laborables te enviamos una propuesta cerrada, con plazo y precio fijo.
- Llamada inicial sin coste para entender tu situación
- NDA firmado antes de cualquier acceso al código
- Propuesta cerrada en 24h con alcance, plazo y precio fijo
- Auditoría desde solo 2.895€ · entrega en 7-12 días
Solicita tu auditoría
Te respondemos en menos de 24h laborables con una propuesta cerrada.
Solicita tu auditoría de código
Te enviamos una propuesta cerrada en menos de 24h laborables.
