Pentesting: qué se hace de verdad en una prueba de intrusión
Ni película de hackers ni escaneo automático con logo bonito: las fases reales de un pentest y qué debe incluir el informe que pagas.
Hay mucho humo alrededor del pentesting. En un extremo, la imagen de película: capuchas y pantallas verdes. En el otro, el fraude silencioso: pasar un escáner automático, pegar el resultado en un PDF y cobrarlo como auditoría. Un pentest real es otra cosa: trabajo metódico, con permiso, con alcance y con criterio humano.
Las fases de un pentest serio
Reconocimiento: entender el objetivo. Qué dominios y subdominios existen, qué tecnología usa la web, qué puertos y servicios están expuestos, qué se ha filtrado de la empresa en brechas anteriores.
Enumeración y análisis: mapear la superficie de ataque. Formularios, APIs, paneles de login, roles de usuario, versiones de software. Aquí los escáneres ayudan, pero la clave es la interpretación: distinguir el falso positivo del agujero real.
Explotación: demostrar el impacto de forma controlada. No basta con decir «este campo parece inyectable»; se comprueba hasta donde el alcance lo permite, sin romper nada y documentando cada paso.
Informe y retest: el entregable de verdad. Cada hallazgo con su gravedad, su prueba, su impacto de negocio y su corrección concreta. Y tras corregir, un retest que confirme que las puertas cerradas están cerradas.
Señales de calidad al contratar
Alcance por escrito y autorización firmada antes de tocar nada. Metodología reconocible (OWASP, PTES). Informe con evidencias reproducibles, no capturas sueltas. Clasificación de riesgo entendible por negocio, no solo CVEs. Y un retest incluido o presupuestado — un pentest sin retest deja el trabajo a medias.
En ReXyo Secure este es exactamente el ciclo que aplicamos: auditoría, informe accionable, corrección y retest. Y la primera auditoría es gratuita, para que sepas dónde estás antes de decidir nada.