Pentest de aplicaciones web
- Autenticación, autorización y control de acceso (IDOR, escalación de privilegios)
- Inyección (SQLi, SSTI, command injection) y lógica de negocio
- APIs REST/GraphQL, manejo de sesión y configuración de API
Encontramos las vulnerabilidades antes que un atacante real lo haga.
Pensamos como atacantes, no como un scanner. Pentest real de aplicaciones web y redes/infraestructura, sin falsos positivos. Informe ejecutivo para la dirección, detalle técnico reproducible para tu equipo, y retest de verificación incluido.
Confianza
Empresas que ya confiaron en nosotros
Equipos de distintos rubros nos han encargado evaluar la seguridad de sus plataformas.
Salud digital
Prevención y compliance
Telecomunicaciones y salud
Desarrollo de software
Consultoría TI
Mantención mecánica en terreno
Servicios
Qué evaluamos
Informe ejecutivo + técnico con PoC reproducible, y retest de verificación incluido en todos los servicios.
Pentest de redes e infraestructura
- Reconocimiento y enumeración de servicios expuestos (externo e interno)
- Explotación de vulnerabilidades conocidas y configuraciones inseguras
- Active Directory: escalación de privilegios y movimiento lateral
Pentest de aplicaciones móviles
- Análisis estático del binario: secretos hardcodeados, permisos excesivos
- Interceptación de tráfico y validación de certificate pinning
- Almacenamiento local inseguro y controles de autenticación en el cliente
Proceso
Cómo trabajamos un engagement
Un proceso claro de principio a fin, con el alcance siempre acordado por escrito antes de cualquier prueba.
Alcance y propuesta
Definimos junto al cliente qué se evalúa, ventanas de prueba permitidas, y condiciones del engagement. Nada se prueba fuera de lo autorizado por escrito.
Ejecución
Evaluación activa dentro del alcance acordado, con comunicación directa ante cualquier hallazgo crítico que requiera atención inmediata.
Informe
Resumen ejecutivo para la dirección y detalle técnico reproducible para el equipo, con severidad, impacto de negocio y recomendación concreta por hallazgo.
Retest
Verificación de la remediación real una vez aplicados los cambios — no basta con "corregido", se confirma contra el activo real.
Por qué Websec
Metodología real, no un escáner con membrete
-
Criterio experto en cada hallazgo
-
Impacto de negocio, no solo severidad técnica
-
Prueba de concepto reproducible
-
Confidencialidad por diseño
Alineado a estándares reconocidos de la industria
PTES
OWASP Testing Guide
OWASP Top 10
NIST SP 800-115
Preguntas frecuentes
Antes de escribirnos
Lo que más nos preguntan al evaluar un pentest.
¿Cuánto dura un pentest?
Depende del alcance: se define junto con el cliente en la etapa de propuesta, junto con las ventanas de prueba permitidas y las condiciones del engagement.
¿Qué incluye el informe final?
Un resumen ejecutivo pensado para la dirección (impacto de negocio, sin jerga técnica) y un detalle técnico reproducible para el equipo, con severidad y recomendación concreta por hallazgo.
¿El retest tiene costo adicional?
No, está incluido: una vez aplicadas las correcciones, verificamos la remediación real contra el activo, no nos conformamos con un "ya está corregido".
¿Firman acuerdo de confidencialidad?
Sí. Alcance, evidencia y hallazgos se manejan bajo NDA, con acceso restringido durante todo el engagement.
¿Cómo cotizan un proyecto?
No publicamos una tarifa plana porque el alcance real varía mucho entre clientes — cuéntanos qué necesitas evaluar y te respondemos con una propuesta a medida.
¿Trabajan con pymes o solo con empresas grandes?
Con equipos de cualquier tamaño. El alcance y las condiciones se conversan según la realidad de cada empresa — si eres una pyme y el costo es una barrera real, comunícate con nosotros. La idea siempre es avanzar juntos en seguridad, no que el precio sea la razón para dejarla de lado.
¿Qué pasa si encuentran algo crítico durante la prueba?
Te avisamos de inmediato, sin esperar al informe final — la comunicación de un hallazgo crítico no se guarda para el cierre del engagement.
¿Puedo ver un ejemplo de cómo se ve un buen informe?
Sí, escríbenos y te mostramos un fragmento real (anonimizado). También puedes leer qué debería tener cada hallazgo en nuestro blog: "Cómo reconocer un buen informe de pentest".
¿Tienes un proyecto que necesita evaluación de seguridad?
Sin plantillas ni tarifa plana — el alcance real de tu proyecto define la propuesta.
Contacto
Conversemos sobre tu proyecto
Cuéntanos brevemente el alcance de lo que necesitas evaluar y te respondemos con los próximos pasos.
Email
contacto@websec.cl
Tiempo de respuesta
Respondemos dentro de 1-2 días hábiles