Seguridad de aplicaciones
Pentesting de web, móvil y API, con correcciones que tu equipo puede publicar.
La mayoría de las brechas siguen entrando por la aplicación: un control de acceso que falta, un cliente que puede leer los datos de otro, una API que confía en el navegador. Probamos tu aplicación web, tus apps móviles y tus API como lo haría un atacante, explicamos cada hallazgo en lenguaje de desarrollador y volvemos a probar tras la corrección, para que el informe se convierta en software más seguro y no en un PDF olvidado.
01 / Qué probamos
Autenticación, sesiones, control de acceso entre usuarios y clientes, lógica de negocio y el OWASP Top 10.
API REST y GraphQL según el OWASP API Security Top 10: autorización a nivel de objeto, mass assignment, límites de uso y tokens.
Apps de iOS y Android según OWASP MASVS: almacenamiento local, certificate pinning, ingeniería inversa y su backend.
Chats con LLM, agentes de IA y servidores MCP de tu producto, probados contra prompt injection, fugas de datos y acciones no deseadas.
02 / Stack
Estándar del sector, aburrida en el buen sentido: herramientas con futuro, que el próximo ingeniero también conocerá.
Pruebas web
Burp Suite
Proxy de interceptación para pruebas manuales
OWASP ZAP
Escáner y proxy de código abierto
Nuclei
Comprobaciones de fallos conocidos con plantillas
Playwright
Flujos automatizados para pruebas autenticadas
Pruebas de API
Postman
Colecciones de llamadas autorizadas
Schemathesis
Pruebas basadas en propiedades desde OpenAPI
GraphQL tooling
Introspección, lotes y consultas profundas
JWT & OAuth testing
Pruebas de tokens, permisos y sesiones
Pruebas móviles
MobSF
Análisis móvil estático y dinámico
Frida
Instrumentación en tiempo de ejecución
Objection
Exploración en el dispositivo
OWASP MASVS
El estándar con el que verificamos
03 / Enfoque
Partimos de cómo funciona tu producto y de quién lo atacaría, para dedicar el tiempo a lo que importa.
Escáneres para lo básico; un ingeniero para el control de acceso, los fallos de lógica y el aislamiento entre clientes.
Cada fallo incluye impacto, pasos para reproducirlo y una corrección concreta para tu stack, listo para un ticket.
Cuando corriges los fallos, volvemos a probarlos y actualizamos el informe como prueba de que están cerrados.
04 / Estándares
Seguimos estándares del sector y métodos probados en cada proyecto: son los que hacen que el presupuesto se mantenga.
05 / Infraestructura
Buenas preguntas
Respuestas directas a lo que preguntan los clientes antes de empezar.
Todo lo que un atacante puede alcanzar: autenticación y sesiones, control de acceso entre usuarios y tenants, tratamiento de entradas, lógica de negocio, API, subida de archivos, secretos y configuración. WNC prueba según el OWASP Top 10, el OWASP API Security Top 10 y, en apps móviles, OWASP MASVS, y acuerda contigo el alcance exacto antes de empezar.
Trabajo relacionado
Proyectos y productos nuestros en los que intervino este servicio.
Start
Cuéntanos qué quieres probar. Un ingeniero sénior te responde con un alcance y un precio honestos.
Let’s manage Ver seguridad de IA y red teaming
