Pentesting de verdad: no te preguntamos qué tienes, te enseñamos qué ve un atacante.

Un análisis de vulnerabilidades es una herramienta que te devuelve un listado de posibles fallos ordenados por una puntuación genérica, sin saber nada de tu negocio. Un pentesting descarta los falsos positivos, encadena los hallazgos entre sí y demuestra el recorrido completo: por dónde se entra, hasta dónde se llega y qué datos quedan al alcance. Es muy habitual tener un informe de escaneo en verde y tres caminos abiertos que el escáner nunca iba a encontrar, porque requieren encadenar dos cosas que por separado parecían inofensivas.

El riesgo se gestiona, no se ignora. La fase de reconocimiento es completamente pasiva y no toca tus sistemas. La enumeración y la explotación se hacen dentro de una ventana pactada contigo, con ritmo controlado y sin pruebas de denegación de servicio ni fuerza bruta masiva salvo que tú lo pidas por escrito. Tienes un teléfono de contacto durante todo el pentest para parar en cualquier momento, y si un hallazgo solo se puede demostrar con riesgo de impacto, te lo consultamos antes en lugar de hacerlo y avisar después.

Autorización firmada, el nombre legal de la empresa, la lista de dominios e IPs que son tuyos y quieres que entren en alcance, una ventana horaria y un contacto técnico al que llamar si algo se pone raro. Nada más. No pedimos credenciales, ni accesos, ni diagramas de red: eso es justo lo que vamos a reconstruir desde fuera, y si te lo pidiéramos ya no sería un pentest de caja negra.

Depende de qué quieras responder. El pentesting de caja negra te dice qué puede hacer alguien que no sabe nada de ti y te encuentra en internet: mide exposición real y es el mejor primer pentest si nunca has hecho ninguno. El de caja gris te dice qué puede hacer un usuario con cuenta, un cliente o un empleado descontento. El de caja blanca te dice cuántos fallos hay en total, con documentación delante, pero deja de parecerse a un ataque real. Si no has hecho nunca ninguno, empieza por caja negra y decide después con datos.

Te llamamos el mismo día. No esperamos al informe final para avisar de un hallazgo crítico, y mucho menos si aparecen indicios de que alguien ya está dentro. En ese caso paramos el pentest, te explicamos qué hemos visto y decidimos contigo si esto se convierte en una respuesta a incidente, porque a partir de ahí las prioridades y la forma de trabajar cambian por completo.

Sí. El informe documenta el estado real de tu superficie expuesta con fecha, alcance, metodología y evidencias reproducibles. Es lo que piden los cuestionarios de suscripción y renovación de ciberriesgo y lo que espera un auditor cuando pregunta cómo verificas la seguridad de tus servicios publicados. Las empresas que aportan un pentest externo reciente suelen negociar mejores condiciones que las que solo declaran antivirus y copias de seguridad.

Los grandes proveedores permiten pentesting sobre tus propios recursos sin autorización previa siempre que se respeten sus reglas de uso, que básicamente prohíben pruebas de denegación de servicio y ataques sobre infraestructura compartida. Nosotros trabajamos dentro de esas reglas por defecto. Si tienes servicios gestionados de terceros dentro del alcance (un CRM, un ERP en la nube de un proveedor, un hosting compartido), sí hace falta su autorización expresa y te ayudamos a pedirla antes de empezar.

12 días laborables desde la autorización en la modalidad Externo y 18 en la Completa. No prometemos 48 horas porque en 48 horas solo da tiempo a lanzar un escáner y reenviarte el volcado. La parte que aporta valor —validar a mano qué es explotable en tu caso concreto y encadenarlo hasta un impacto real— es precisamente la que lleva días.