Pentesting manual de aplicaciones web y API — España y UE
Alguien va a intentar entrar en tu software. Deja que yo sea el primero.
Pentest manual de aplicaciones web y API para equipos SaaS en España y toda la UE, por un tester senior — la misma persona con la que hablas, que hace el test y que se lo explica a tu auditor. 6.500 € fijos, retest incluido.
Acepto un máximo de 2 tests completos al mes. Trabajo en inglés (también en alemán).
¿Te suena?
Por qué una sola persona
En una gran firma vende un senior y testea un junior.
Conmigo es la misma persona. No hay nadie a quien pasar la culpa, así que lo hago bien. Hablas con el tester, no con un account manager. Lo que encuentro, lo explico yo mismo.
Qué recibes
El informe es para ti. La attestation letter es para los demás.
El informe está escrito para tu equipo: reproducir, arreglar, listo. Tus clientes, inversores y auditor reciben la attestation letter (TPM) — la prueba de que todo está en orden, sin tus trapos sucios técnicos.
Herramientas donde aceleran, trabajo manual donde importa. Test de intrusión según OWASP WSTG y ASVS Level 2, hallazgos con CVSS. Nunca salida de escáner sin filtrar.
Prueba de concepto por hallazgo, para que tu equipo dev pueda reproducirlo.
Resumen ejecutivo para dirección, informe técnico para el equipo.
Incluido durante 90 días — hasta que todo esté arreglado o formalmente aceptado.
Totalmente ficticio: cliente, sistemas, hallazgos y todos los nombres, direcciones y datos de contacto de ambos documentos son inventados. Solo la estructura es real — y esa es exactamente la que recibes.
Garantías
Lo que pongo en juego.
Precio fijo, fecha fija, resultado fijo. Si no lo cumplo, no lo notas en tu cartera.
Paquetes
Una vez al año o con cada lanzamiento.
Pentest único
6.500 € fijos
A los 15 días laborables del inicio tienes en la mano una attestation letter que tu cliente, inversor o auditor acepta. Ese es el trato.
- ¿Hallazgo crítico? Lo sabes el mismo día, no en el informe
- Informe 3 días laborables tras el último día de test, o 20% de descuento
¿Encaja contigo? Una aplicación web con API, ±3 roles de usuario, ±75 endpoints, un entorno. ¿Más grande? Lo oirás en la scoping call y tendrás un precio fijo por adelantado. Qué incluyen los 6.500 €.
¿Necesitas otro test el año que viene? Entonces el Plan anual sale más barato que dos sueltos.
Agenda una scoping callPlan anual
12.000 €/año
1.000 € al mes por tu propio pentester
Un tester que conoce tu aplicación y que atiende él mismo a tus developers y a tu auditor.
- Dos momentos de test al año: test completo antes de tu ventana de auditoría, seis meses después un test intermedio dirigido — tu informe nunca tiene más de seis meses
- Sesión de fixes con tus developers tras cada test
- Las preguntas de tu auditor las respondo yo — todo el año, respuesta en un día laborable
- ¿Vulnerabilidad crítica en el stack que he testeado? En un día laborable sabes si te afecta
- Máximo 12 clientes del Plan anual y 2 tests completos al mes — los clientes del Plan anual van primero
No incluido: una segunda aplicación (suplemento fijo), construir fixes y rellenar cuestionarios completos de clientes — responder una pregunta técnica siempre está bien.
Dos tests sueltos cuestan 13.000 € — sin todo lo de en medio.
Agenda una scoping callRelease Guard
3.000 €/mes
Un pentest anual es una foto. Tu software es una película.
- Todo lo del Plan anual, más: pensar contigo antes de construir y un delta-test tras cada release — hallazgos directos a tu backlog
- Delta-test = revisión dirigida de lo que cambió; el test completo anual sigue siendo la referencia
- Un ingeniero de seguridad en plantilla cuesta 8.000 €+ al mes. Esto es la parte que realmente necesitas.
- Hasta dos días al mes, repartidos entre tus releases. ¿Necesitas más? Lo acordamos por adelantado
- Mínimo 6 meses, después cancelable mes a mes
¿Qué ha salido a producción sin testear? Envíame tus release notes de los últimos seis meses. En una semana tienes una llamada de treinta minutos en la que te digo qué releases habría querido ver — y por qué.
Envíame tus release notesEl mismo senior, el mismo método, la misma calidad de informe — elijas el paquete que elijas.
Incluido en cada test
- Retest de verificación incluido durante 90 días, con declaración firmada por ronda.
- Attestation letter (TPM, Third Party Memorandum) con cada test, dentro de tu ventana de auditoría.
- Sin créditos, sin horas que caducan, sin platform fee.
- El mismo senior hace la llamada, el test y el debrief.
Cómo funciona
De la primera llamada a la declaración firmada.
Planificación
¿Cuándo puedo empezar?
Si esto está listo hoy, en teoría puedo empezar mañana. En la práctica, firmas y cuentas llevan de días a semanas. ¿Quieres ir rápido? Ten estas cuatro cosas listas antes de la scoping call.
Compliance
Pentest para ISO 27001, SOC 2, ENS y NIS2.
El alcance se alinea con la descripción de tu sistema. ¿Haces deploy continuo? Entonces es posible un test anual más verificación continua (Release Guard) — tras alinearlo con tu auditor. ¿Vas a por el ENS? El informe y la attestation letter cubren el sistema en alcance con metodología, hallazgos y verificación tras el retest — la evidencia de pruebas de penetración que tu entidad certificadora pide. Resuelto con hechos, sin drama. Más detalle: pentest para ISO 27001 y SOC 2 · pentest para el ENS · guía compliance 2026 (PDF).
Para MSPs y partners de TI
Tu cliente pide un pentest. A partir de ahora, simplemente dices que sí.
Co-branded: tú vendes y mantienes la relación con el cliente, yo testeo. El informe lleva tu logo y nombra a CyberScore B.V. (Hacketico) como parte ejecutora — exactamente lo que el auditor de tu cliente quiere ver. Sin inversión, sin contrato, precio de partner fijo por encargo.
Hazte partnerSobre mí
17 años de seguridad ofensiva en administración pública, defensa, finanzas, sanidad e infraestructuras críticas. CISSP y OSCP+. Trabajo desde los Países Bajos, totalmente en remoto, para empresas SaaS en España — Madrid, Barcelona, donde esté tu equipo — y en toda la UE. Rigor holandés; contacto e informes en inglés, también en alemán.
Por qué aquí no hay nombre ni foto: trabajo para la administración pública y defensa. En ese oficio, una huella digital pequeña no es modestia, es higiene profesional. Lo que no ves aquí lo recibes en la scoping call — mi nombre, mis números de certificación para que los verifiques tú mismo, mi justificante de seguro y dos clientes a los que puedes llamar. Bajo NDA, antes de que firmes nada.
Referencias
Tres tests, tres auditorías superadas.
Anonimizadas a petición de los clientes. Nombres y datos de contacto se comparten en la scoping call, con su consentimiento.
[±80 endpoints, 3 roles]
[1 crítico, 2 altos]
[Retest limpio a las 3 semanas]
[SOC 2 Type II superada]
[±60 endpoints, 2 roles]
[0 críticos, 3 altos]
[Retest limpio a las 2 semanas]
[ISO 27001 superada]
[±100 endpoints, 4 roles]
[2 críticos, 1 alto]
[Retest limpio a las 4 semanas]
[Evidencia NIS2 entregada al cliente]
FAQ
Preguntas frecuentes
¿Cómo sé que eres quien dices ser?
En la scoping call, bajo NDA: nombre, números de certificación que verificas en directo en ISC2 y OffSec, justificante de seguro, extracto del registro mercantil neerlandés (KvK) y dos referencias a las que puedes llamar. Solo después firmas algo.
¿Un pentest manual no es solo un escáner caro?
No — aunque uso herramientas donde aceleran; el trabajo manual está donde importa. Un escáner encuentra lo que encuentra cualquier escáner. Yo encuentro lo que sale mal cuando alguien dedica días de atención personal a tu aplicación: fallos de lógica, problemas de autorización, cadenas de pequeños issues que juntos forman uno grande. Ahí está el daño.
¿Por qué no una plataforma automatizada?
Elige la plataforma si sobre todo quieres escanear muchos endpoints de forma continua y barata. Elige a un senior cuando alguien tiene que entender tu lógica de negocio y tu autorización — y necesitas una attestation letter (TPM) que auditores y clientes enterprise aceptan.
¿En qué idioma trabajas?
En inglés: la scoping call, el informe, la attestation letter y las sesiones de fixes. Es lo que aceptan auditores, inversores y clientes internacionales. También en alemán. Si tu equipo o tu auditor necesitan el español, dímelo en la scoping call y vemos si encaja.
¿Puedo usar este informe para ISO 27001, SOC 2, ENS, NIS2 o DORA?
Sí. El informe sigue OWASP WSTG y ASVS y contiene lo que un auditor, aseguradora o cliente quiere ver: alcance, metodología, hallazgos y la reevaluación tras el retest. Si tú mismo no estás bajo NIS2 pero recibiste un cuestionario de seguridad de un cliente, esto suele ser la evidencia que piden. Y no: NIS2 no exige pentests trimestrales — basta una evaluación anual basada en riesgo. Quien te diga otra cosa, te está vendiendo de más.
¿Y si no encuentras nada?
Entonces recibes una attestation letter que lo demuestra. Ese es exactamente el documento que quieres enseñar a clientes y auditores. En la práctica casi siempre encuentro algo; la cuestión es cómo de grave.
¿Y si simplemente tengo una pregunta entre medias?
Hazla. Una pregunta razonable la respondo sin más, también fuera de un encargo en curso, y no envío factura por ello. Así prefiero trabajar — y así pienso también sobre el precio.
¿Haces también trabajo de red, cloud, TISO o vCISO?
Sí, para clientes existentes, bajo petición — incluidos roles TISO. El delta-testing está en Release Guard.
Una llamada de 30 minutos basta para saber si esto encaja.
¿Prefieres email? Envía tu alcance a info@hacketico.es — en 24 horas en días laborables sabrás si cabe en 5 días y cuánto cuesta.
Mensaje enviado
Gracias por escribir. Te respondo en 24 horas en días laborables.
Qué te voy a preguntar
- ¿Cada cuánto haces release a producción?
- ¿Quién pidió el pentest y qué quiere ver exactamente?
- ¿Hay un proceso SOC 2, ISO, ENS o NIS2 en marcha y cuál es la fecha límite?
- ¿Qué pasó con los hallazgos de tu test anterior?
- ¿Quién sería mi persona de contacto?