Descubre por dónde entra un atacante desde fuera.

Un escaneo de vulnerabilidades devuelve una lista automática de puertos abiertos y posibles CVE, casi toda sin verificar y sin interpretar. Un pentesting externo es un especialista encadenando OSINT, enumeración de la superficie y explotación controlada hasta un camino que funciona de verdad contra tu perímetro concreto. Lo que recibes es una auditoría de seguridad con una lista corta de cadenas demostradas, ordenadas por si dan entrada y por su radio de impacto, no la exportación cruda de un escáner. Las herramientas nos aceleran el reconocimiento; nunca son el entregable.

Un pentesting externo enfocado en un solo dominio principal suele llevar de una a dos semanas de pruebas activas, más la definición del alcance antes y el retest después de tus correcciones. Los perímetros grandes, con varios dominios, varios países o varias cloud, van de dos a cuatro semanas. La propuesta y el calendario los entregamos en 48 horas desde la primera llamada, así que sabes las fechas antes de comprometerte.

No, no sin tu consentimiento expreso. Cada proyecto lleva sus rules of engagement documentadas: ventanas de prueba, intensidad permitida, acciones prohibidas y un contacto para pararlo todo. Sobre activos en producción nuestra postura por defecto es reconocimiento pasivo y pruebas de concepto validadas, sin pruebas destructivas y sin password spraying salvo que lo pidas. Si se acuerda explotar en producción, se hace con límites de peticiones y con tu equipo pendiente, y abortamos cualquier cosa que ponga en riesgo la disponibilidad.

El precio depende del alcance, de la complejidad y del tipo de test (black box, grey box o white box). Damos un precio cerrado, sin extras escondidos y sin obligación de renovar. Una evaluación enfocada en un dominio principal pequeño está en la parte baja de la horquilla; los perímetros grandes escalan desde ahí. El retest que confirma tus correcciones va siempre incluido.

El grey box encaja en la mayoría de los primeros proyectos: nos das tu inventario de activos públicos y los límites del alcance, y así dedicamos el tiempo a probar en vez de a redescubrir lo que ya sabes. El black box imita a un atacante real con solo tu dominio principal, y es el mejor para la foto anual. El white box añade diagramas de arquitectura y un contacto técnico, para la cobertura más profunda. En la primera reunión te recomendamos el que toca.

Lo ejecuta de principio a fin el especialista senior con el que hablas en la primera llamada. Nuestros hackers éticos tienen certificaciones OSCP, OSCE³, OSWE, OSEP, CRTO y CRTP, la mayoría han trabajado dentro de equipos de seguridad corporativa o de red team, y somos contribuidores verificados del Bug Bounty de la NASA con CVE publicados contra equipos de perímetro muy extendidos. La misma persona define el alcance, ejecuta y hace el retest. Es quien te atiende de principio a fin.

Al menos una vez al año, que es el suelo que piden ISO 27001, ENS, PCI DSS, SOC 2, NIS2 y DORA. Los perímetros muy dinámicos o muy expuestos piden cada seis meses o un programa continuo. Y cualquier cambio de calado justifica un test nuevo: una VPN o una integración de SSO nuevas, una salida a producción pública, una adquisición, la renovación del ciberseguro o una brecha en tu sector.