Pentesting y pruebas de penetración para SaaS: web, móvil, API y nube

Depende de su superficie de ataque. El pentest de red externa (metodología PTES, NIST SP 800-115) cubre la infraestructura expuesta a internet: DNS, correo, servicios perimetrales e interfaces de administración expuestas. El pentest de aplicaciones web cubre la lógica de su aplicación y se delimita frente a OWASP ASVS (Application Security Verification Standard): L1 para amenazas oportunistas, L2 para la mayoría de las aplicaciones SaaS que manejan datos sensibles y L3 para alta garantía (sanidad, fintech, defensa). El pentest móvil sigue OWASP MASVS (Mobile ASVS) y abarca los controles de la plataforma (iOS/Android), la red, la criptografía, la autenticación y la calidad del código. El pentest de API sigue el OWASP API Security Top 10 2023 (BOLA, autenticación rota, BOPLA, consumo de recursos sin restricciones, etc.) y prueba la autenticación y la autorización a nivel de solicitud. La auditoría de configuración de la nube revisa AWS/GCP/Azure frente a los CIS Benchmarks y al pilar de seguridad del Well-Architected Framework propio de cada proveedor. La mayoría de los SaaS necesitan cada año pentest de aplicación web + API + auditoría de configuración de la nube; y móvil si publican una app móvil.

Nuestros probadores principales combinan OSCP (Offensive Security Certified Professional, con un examen práctico de 24 horas), OSCE/OSEP (explotación más avanzada), CREST CRT/CCT (reconocida por el sector en el Reino Unido y aceptada por el gobierno británico y por el CBEST del Banco de Inglaterra) y, cuando procede, CISSP para el papel de asesor sénior. Por qué importa: un titular de OSCP ha explotado de forma demostrable entornos de varios hosts bajo presión de tiempo; un escáner automático no. Las compras de las grandes empresas, el CBEST del Banco de Inglaterra, el TIBER-EU de la UE y la mayoría de los suscriptores de ciberseguros piden ya probadores con credenciales y nombre en el proyecto, no solo la afirmación publicitaria de una firma sobre «profesionales certificados».

Cada hallazgo se puntúa con CVSS v4.0 (el vector actual publicado por FIRST, que incluye métricas de amenaza y de entorno, además de las extensiones Safety/Automated/Recovery). También asignamos una valoración contextual de riesgo de negocio porque CVSS por sí solo no recoge el contexto del aislamiento entre tenants ni de la clasificación de datos. El informe contiene: un resumen ejecutivo legible por el consejo, una sección de metodología que cita las fases de PTES y los capítulos de ASVS/MASVS/API Top 10 probados, una sección de hallazgos con pasos de reproducción, vector CVSS, impacto en el negocio y remediación priorizada, una narrativa del ataque que reconstruye el camino que seguiría un atacante y un anexo con las evidencias de las pruebas. También entregamos un seguimiento de remediación como CSV importable en JIRA.

Sí: cada proyecto incluye una nueva prueba gratuita en los 90 días siguientes al informe. Volvemos a ejecutar la prueba de concepto de cada hallazgo alto y crítico, verificamos la corrección y reemitimos una carta de resultado limpio que puede entregar a compras de una gran empresa o a un auditor. Las nuevas pruebas fuera de alcance (pasados los 90 días o con alcance ampliado) se presupuestan al 30 % del proyecto original. Para una garantía continua, una iguala trimestral mantiene las pruebas con una cadencia permanente y con nuevas pruebas continuas entre proyectos.

SOC 2 espera un pentest periódico como evidencia de la monitorización CC4.1 y de la identificación de vulnerabilidades CC7.1; todas las grandes firmas de auditoría aceptan nuestros informes. El Req. 11.4.3 de PCI DSS v4.0.1 exige pruebas de penetración externas/internas anuales y también tras cualquier cambio significativo; el Req. 11.4.5 exige pruebas de segmentación (anuales para comercios, cada 6 meses para proveedores de servicios). HIPAA no menciona expresamente la «prueba de penetración», pero el §164.308(a)(8) exige una evaluación técnica periódica; los pentests son la evidencia de facto. El artículo 15 del Reglamento de IA de la UE exige pruebas de exactitud, robustez y ciberseguridad; DORA (Reglamento (UE) 2022/2554) impone las Threat-Led Penetration Testing (TLPT) a las entidades financieras significativas a partir de enero de 2025. Asignamos cada hallazgo al control correspondiente para que el informe sirva doblemente en las auditorías.

Alcance cerrado y precio total en USD en cuatro niveles. Un análisis básico de vulnerabilidades parte de $700 (2–3 días): análisis automatizado con triaje manual y una lista de correcciones priorizada. Un pentest de app o sitio parte de $1,400 (1–2 semanas): una sola aplicación web o sitio, OWASP ASVS L2 por defecto con pruebas autenticadas multirrol y de lógica de negocio. Un pentest de infraestructura externa parte de $2,300 (1–2 semanas): el perímetro expuesto a internet según PTES + NIST SP 800-115. Un proyecto de red interna o integral parte de $4,100 (2–4 semanas): multisuperficie web/API/móvil/nube con pruebas de aislamiento de tenants y de movimiento lateral. La cifra varía según el tamaño del alcance, el número de superficies y el nivel de garantía exigido. Usted ve el presupuesto desglosado al final de la delimitación del alcance y lo aprueba antes de que empiece ninguna prueba: sin recargo por intermediación, sin sobrecostes por herramientas y con una nueva prueba gratuita en 90 días incluida en todos los niveles.

Todos los informes de pentest incluyen: un resumen ejecutivo legible por la dirección no técnica, una sección de metodología que cita las fases de PTES y los estándares concretos de OWASP/NIST probados, una sección de hallazgos con pasos de reproducción, vector CVSS v4.0, impacto en el negocio y guía de remediación priorizada, una narrativa del ataque que reconstruye el camino que seguiría un atacante real y un seguimiento de remediación en CSV importable en JIRA. Para los hallazgos altos y críticos incluimos una prueba de concepto funcional que su equipo de ingeniería puede reproducir en un entorno seguro para validar la corrección.

Usamos CVSS v4.0, el estándar de puntuación actual publicado por FIRST, que incluye métricas Base, de amenaza y de entorno, además de las extensiones Safety, Automatable y Recovery. Cada hallazgo recibe una cadena de vector CVSS v4.0 junto con una valoración contextual de riesgo de negocio, porque CVSS por sí solo puede tergiversar la gravedad cuando importa el contexto del aislamiento entre tenants o de la clasificación de datos. Por ejemplo, una puntuación CVSS media en una vulnerabilidad BOLA/IDOR que afecte a un SaaS multi-tenant puede suponer un riesgo de negocio crítico si expone todos los datos de los clientes.

Sí: cada proyecto incluye una nueva prueba gratuita en los 90 días siguientes al informe final. Volvemos a ejecutar la prueba de concepto de cada hallazgo alto y crítico una vez que su equipo ha aplicado las correcciones, verificamos que la remediación es eficaz y reemitimos una carta de resultado limpio que compras de una gran empresa o un auditor pueden aceptar como evidencia de resolución. Las nuevas pruebas fuera de alcance (pasados los 90 días o con alcance ampliado) se presupuestan al 30 % de los honorarios del proyecto original.

La respuesta depende de sus obligaciones de cumplimiento y de su velocidad de cambio. El Req. 11.4.3 de PCI DSS exige pruebas de penetración externas e internas anuales, y también tras cualquier cambio significativo en la infraestructura o en la aplicación. Los auditores de SOC 2 esperan al menos pruebas anuales como evidencia de CC4.1/CC7.1. HIPAA §164.308(a)(8) exige evaluaciones técnicas periódicas sin un intervalo definido; lo habitual de facto es una al año. Más allá del cumplimiento, los equipos de SaaS que avanzan rápido suelen beneficiarse de pruebas trimestrales o semestrales para detectar las vulnerabilidades que introducen las funciones nuevas antes de que lleguen a los clientes empresariales.

Los escáneres automáticos (ZAP, Nuclei, Burp Scanner) destacan en cobertura: pueden enumerar miles de parámetros, probar patrones de vulnerabilidad conocidos a escala y sacar a la luz problemas de configuración con rapidez. Pero pasan por alto de forma sistemática los fallos de lógica de negocio, la confusión del estado de autenticación, BOLA/IDOR a nivel de aplicación y las vulnerabilidades encadenadas que requieren un razonamiento contextual a lo largo de varias solicitudes. En nuestros proyectos, las herramientas automáticas actúan como apoyo de las pruebas manuales para maximizar la cobertura, pero los hallazgos que importan proceden de las pruebas manuales basadas en hipótesis.

Un análisis de vulnerabilidades enumera CVE conocidos y errores de configuración frente a una base de datos de firmas: rápido y amplio, pero superficial. Informa de posibles vulnerabilidades, muchas de las cuales son falsos positivos o no son explotables en su configuración concreta. Una prueba de penetración lleva más lejos los hallazgos explotables: el probador los encadena, escala privilegios, demuestra el movimiento lateral y elabora un escenario de brecha que muestra a su CISO y a su consejo lo que un atacante podría lograr de verdad. Los análisis son una entrada de nuestro proceso de triaje; la explotación manual es el resultado que importa como evidencia de cumplimiento.