Pentesting manual d’aplicacions web i API — Catalunya, Espanya i UE
Algú intentarà entrar al teu software. Deixa que jo sigui el primer.
Pentest manual d’aplicacions web i API per a equips SaaS a Catalunya, Espanya i tota la UE, per un tester sènior — la mateixa persona amb qui parles, que fa el test i que ho explica al teu auditor. 6.500 € fixos, retest inclòs.
Accepto un màxim de 2 tests complets al mes. Treballo en anglès (també en alemany).
Et sona?
Per què una sola persona
En una gran firma ven un sènior i testeja un júnior.
Amb mi és la mateixa persona. No hi ha ningú a qui passar la culpa, així que ho faig bé. Parles amb el tester, no amb un account manager. El que trobo, ho explico jo mateix.
Què reps
L’informe és per a tu. L’attestation letter és per a la resta.
L’informe està escrit per al teu equip: reproduir, arreglar, llest. Els teus clients, inversors i auditor reben l’attestation letter (TPM) — la prova que tot està en ordre, sense els teus draps bruts tècnics.
Eines on acceleren, treball manual on importa. Test d’intrusió segons OWASP WSTG i ASVS Level 2, troballes amb CVSS. Mai sortida d’escàner sense filtrar.
Prova de concepte per troballa, perquè el teu equip dev la pugui reproduir.
Resum executiu per a direcció, informe tècnic per a l’equip.
Inclòs durant 90 dies — fins que tot estigui arreglat o formalment acceptat.
Totalment fictici: client, sistemes, troballes i tots els noms, adreces i dades de contacte d’ambdós documents són inventats. Només l’estructura és real — i aquesta és exactament la que reps.
Garanties
El que poso en joc.
Preu fix, data fixa, resultat fix. Si no ho compleixo, no ho notes a la teva butxaca.
Paquets
Un cop, cada any o cada llançament.
Pentest únic
6.500 € fixos
Al cap de 15 dies laborables de l’inici tens a la mà una attestation letter que el teu client, inversor o auditor accepta. Aquest és el tracte.
- Troballa crítica? Ho saps el mateix dia, no a l’informe
- Informe 3 dies laborables després de l’últim dia de test, o 20% de descompte
Encaixa amb tu? Una aplicació web amb API, ±3 rols d’usuari, ±75 endpoints, un entorn. Més gran? Ho sentiràs a la scoping call i tindràs un preu fix per endavant. Què inclouen els 6.500 €.
Necessites un altre test l’any que ve? Llavors el Pla anual surt més barat que dos de solts.
Agenda una scoping callPla anual
12.000 €/any
1.000 € al mes pel teu propi pentester
Un tester que coneix la teva aplicació i que atén ell mateix els teus developers i el teu auditor.
- Dos moments de test l’any: test complet abans de la teva finestra d’auditoria, sis mesos després un test intermedi dirigit — el teu informe mai té més de sis mesos
- Sessió de fixes amb els teus developers després de cada test
- Les preguntes del teu auditor les responc jo — tot l’any, resposta en un dia laborable
- Vulnerabilitat crítica al stack que he testejat? En un dia laborable saps si t’afecta
- Màxim 12 clients del Pla anual i 2 tests complets al mes — els clients del Pla anual van primer
No inclòs: una segona aplicació (suplement fix), construir fixes i omplir qüestionaris complets de clients — respondre una pregunta tècnica sempre està bé.
Dos tests solts costen 13.000 € — sense tot el d’enmig.
Agenda una scoping callRelease Guard
3.000 €/mes
Un pentest anual és una foto. El teu software és una pel·lícula.
- Tot el del Pla anual, més: pensar amb tu abans de construir i un delta-test després de cada release — troballes directes al teu backlog
- Delta-test = revisió dirigida del que ha canviat; el test complet anual continua sent la referència
- Un enginyer de seguretat en plantilla costa 8.000 €+ al mes. Això és la part que realment necessites.
- Fins a dos dies al mes, repartits entre les teves releases. Necessites més? Ho acordem per endavant
- Mínim 6 mesos, després cancel·lable mes a mes
Què ha sortit a producció sense testejar? Envia’m les teves release notes dels últims sis mesos. En una setmana tens una trucada de trenta minuts en què et dic quines releases hauria volgut veure — i per què.
Envia’m les teves release notesEl mateix sènior, el mateix mètode, la mateixa qualitat d’informe — triïs el paquet que triïs.
Inclòs en cada test
- Retest de verificació inclòs durant 90 dies, amb declaració signada per ronda.
- Attestation letter (TPM, Third Party Memorandum) amb cada test, dins de la teva finestra d’auditoria.
- Sense crèdits, sense hores que caduquen, sense platform fee.
- El mateix sènior fa la trucada, el test i el debrief.
Com funciona
De la primera trucada a la declaració signada.
Planificació
Quan puc començar?
Si això està llest avui, en teoria puc començar demà. A la pràctica, signatures i comptes triguen de dies a setmanes. Vols anar ràpid? Tingues aquestes quatre coses llestes abans de la scoping call.
Compliance
Pentest per a SOC 2, ISO 27001, ENS i NIS2.
L’abast s’alinea amb la descripció del teu sistema. Fas deploy continu? Llavors és possible un test anual més verificació contínua (Release Guard) — després d’alinear-ho amb el teu auditor. Vas a per l’ENS? L’informe i l’attestation letter cobreixen el sistema en abast amb metodologia, troballes i verificació després del retest — l’evidència de proves de penetració que la teva entitat certificadora demana. Resolt amb fets, sense drama. Més detall: pentest per a ISO 27001 i SOC 2 · pentest per a l’ENS · guia compliance 2026 (PDF).
Per a MSPs i partners de TI
El teu client demana un pentest. A partir d’ara, simplement dius que sí.
Co-branded: tu vens i mantens la relació amb el client, jo testejo. L’informe porta el teu logo i anomena CyberScore B.V. (Hacketico) com a part executora — exactament el que l’auditor del teu client vol veure. Sense inversió, sense contracte, preu de partner fix per encàrrec.
Fes-te partnerSobre mi
17 anys de seguretat ofensiva en administració pública, defensa, finances, sanitat i infraestructures crítiques. CISSP i OSCP+. Treballo des dels Països Baixos, totalment en remot, per a empreses SaaS a Catalunya, Espanya i tota la UE. Rigor holandès; contacte i informes en anglès, també en alemany.
Per què aquí no hi ha nom ni foto: treballo per a l’administració pública i defensa. En aquest ofici, una empremta digital petita no és modèstia, és higiene professional. El que no veus aquí ho reps a la scoping call — el meu nom, els meus números de certificació perquè els verifiquis tu mateix, el meu justificant d’assegurança i dos clients a qui pots trucar. Sota NDA, abans que signis res.
Referències
Tres tests, tres auditories superades.
Anonimitzades a petició dels clients. Noms i dades de contacte es comparteixen a la scoping call, amb el seu consentiment.
[±80 endpoints, 3 rols]
[1 crític, 2 alts]
[Retest net al cap de 3 setmanes]
[SOC 2 Type II superada]
[±60 endpoints, 2 rols]
[0 crítics, 3 alts]
[Retest net al cap de 2 setmanes]
[ISO 27001 superada]
[±100 endpoints, 4 rols]
[2 crítics, 1 alt]
[Retest net al cap de 4 setmanes]
[Evidència NIS2 lliurada al client]
FAQ
Preguntes freqüents
Com sé que ets qui dius ser?
A la scoping call, sota NDA: nom, números de certificació que verifiques en directe a ISC2 i OffSec, justificant d’assegurança, extracte del registre mercantil neerlandès (KvK) i dues referències a qui pots trucar. Només després signes res.
Un pentest manual no és només un escàner car?
No — tot i que uso eines on acceleren; el treball manual és on importa. Un escàner troba el que troba qualsevol escàner. Jo trobo el que surt malament quan algú dedica dies d’atenció personal a la teva aplicació: errors de lògica, problemes d’autorització, cadenes de petits issues que junts en formen un de gros. Aquí hi ha el dany.
Per què no una plataforma automatitzada?
Tria la plataforma si sobretot vols escanejar molts endpoints de manera contínua i barata. Tria un sènior quan algú ha d’entendre la teva lògica de negoci i la teva autorització — i necessites una attestation letter (TPM) que auditors i clients enterprise accepten.
En quin idioma treballes?
En anglès: la scoping call, l’informe, l’attestation letter i les sessions de fixes. És el que accepten auditors, inversors i clients internacionals. També en alemany. Si el teu equip o el teu auditor necessiten el castellà o el català, digues-m’ho a la scoping call i veiem si encaixa.
Puc usar aquest informe per a ISO 27001, SOC 2, ENS, NIS2 o DORA?
Sí. L’informe segueix OWASP WSTG i ASVS i conté el que un auditor, asseguradora o client vol veure: abast, metodologia, troballes i la reavaluació després del retest. Si tu mateix no estàs sota NIS2 però has rebut un qüestionari de seguretat d’un client, això sol ser l’evidència que demanen. I no: NIS2 no exigeix pentests trimestrals — n’hi ha prou amb una avaluació anual basada en risc. Qui et digui una altra cosa, t’està venent de més.
I si no trobes res?
Llavors reps una attestation letter que ho demostra. Aquest és exactament el document que vols ensenyar a clients i auditors. A la pràctica gairebé sempre trobo alguna cosa; la qüestió és com de greu.
I si simplement tinc una pregunta entremig?
Fes-la. Una pregunta raonable la responc sense més, també fora d’un encàrrec en curs, i no envio factura per això. Així prefereixo treballar — i així penso també sobre el preu.
Fas també feina de xarxa, cloud, TISO o vCISO?
Sí, per a clients existents, sota petició — inclosos rols TISO. El delta-testing és a Release Guard.
Una trucada de 30 minuts n’hi ha prou per saber si això encaixa.
Prefereixes email? Envia el teu abast a info@hacketico.es — en 24 hores en dies laborables sabràs si cap en 5 dies i quant costa.
Missatge enviat
Gràcies per escriure. Et responc en 24 hores en dies laborables.
Què et preguntaré
- Cada quan fas release a producció?
- Qui va demanar el pentest i què vol veure exactament?
- Hi ha un procés SOC 2, ISO, ENS o NIS2 en marxa i quina és la data límit?
- Què va passar amb les troballes del teu test anterior?
- Qui seria la meva persona de contacte?