Señales de que lo necesitás
- Un cliente, banco o auditoría te pidió “un pentest”
- Vas a lanzar un sistema que maneja pagos o datos de clientes
- Querés saber qué pasaría de verdad, no solo una lista de fallas
Qué es
Una prueba orientada por objetivos que intenta validar de forma controlada si ciertas debilidades pueden producir impacto dentro del alcance autorizado.
Qué no es
No es permiso abierto para atacar, ingeniería social implícita, denegación de servicio ni garantía de descubrir toda debilidad.
Qué deberías recibir
El alcance real depende del proveedor y del contrato. Usá esta lista como referencia para la cotización, no como promesa.
- Carta de autorización y reglas de trabajo firmadas
- Registro de pruebas y límites respetados
- Hallazgos reproducibles para el equipo autorizado
- Informe ejecutivo y técnico con prioridades
Qué influye en el precio
No publicamos precios: varían según alcance, tamaño y proveedor. Pedí la cotización en guaraníes o dólares con IVA discriminado, y compará estos factores entre propuestas:
- Tipo de prueba: aplicación web, red interna, externa, móvil o combinada
- Cantidad de sistemas y funcionalidades incluidas
- Ventana horaria y si incluye reprueba después de corregir
Autorización y alcance
Exigí autorización escrita del propietario de cada activo, reglas de trabajo, ventana, datos permitidos, criterios de parada y responsables de escalamiento.
Preguntas para hacerle al proveedor
- ¿Quién firma la autorización?
- ¿Cómo manejás datos reales encontrados?
- ¿Qué técnicas están prohibidas?
- ¿Cuál es el criterio de parada?
Definí qué pregunta debe responder el pentest
Pedir un pentest de una aplicación, una API o una red puede implicar alcances diferentes. Antes de comparar precios, describí el objetivo del encargo y pedí que el proveedor precise qué incluirá y qué no. El nombre del servicio no sustituye las reglas de trabajo ni la autorización.
Cómo acordar el trabajo
- Acordá objetivo, alcance privado, exclusiones y quién tiene autoridad para autorizar cada activo.
- Definí coordinación, límites, criterios de parada y tratamiento de cualquier evidencia sensible.
- Pedí informe, reunión de devolución y condiciones de una nueva comprobación tras corregir.
Preguntas frecuentes antes de contratar
¿Un pentest web incluye las APIs y la red de la empresa?
No automáticamente. La propuesta debe identificar cada componente incluido y sus límites. Un trabajo sobre una aplicación no autoriza pruebas sobre otros sistemas o terceros.
¿Un escaneo de vulnerabilidades es el mismo servicio?
No conviene compararlos como equivalentes. Pedí al proveedor que explique qué validación profesional y objetivos contempla, qué resultados entregará y cómo difiere su propuesta de una evaluación de vulnerabilidades.
¿Qué debería recibir para dar por cerrado el trabajo?
Acordá un informe que responda a los objetivos, explique limitaciones y permita asignar correcciones. La reunión de devolución y el retest deben figurar por separado si no están incluidos.
¿Es este el servicio correcto?
Si nunca revisaron los sistemas, una evaluación de vulnerabilidades suele ser más barata y suficiente como primer paso.
Ver servicio →PrepararCapacitación sobre phishingSi lo que te preocupa es que engañen a tu gente, eso se trabaja con capacitación, no con un pentest técnico.
Ver servicio →Cómo comparar una propuesta
Prueba con reglas acordadas
Ejemplo orientativo para conversar con el proveedor; no es un paquete disponible ni una promesa de la plataforma.
- Resultado a acordar
- Reglas de trabajo, informe y devolución de resultados.
- Cómo comprobarlo
- Las reglas identifican activos autorizados, exclusiones y criterios de parada; el informe responde a los objetivos acordados.