Encuentro las vulnerabilidades de tu aplicación antes que un atacante.

• APIs REST

  Autorización a nivel de objeto y de función, asignación masiva, consumo de recursos, SSRF y flujos de negocio sensibles. Trabajo sobre tu especificación OpenAPI o tu colección de Postman.

  • API Top 10 2023
  • OpenAPI
  • Postman

  1. API1Broken Object Level Authorization
  2. API2Broken Authentication
  3. API3Broken Object Property Level Authorization
  4. API4Unrestricted Resource Consumption
  5. API5Broken Function Level Authorization
  6. API6Unrestricted Access to Sensitive Business Flows
  7. API7Server Side Request Forgery
  8. API8Security Misconfiguration
  9. API9Improper Inventory Management
  10. API10Unsafe Consumption of APIs

• Aplicaciones web

  Autenticación, sesiones, control de acceso, lógica de negocio, inyecciones y todo lo que pasa en el navegador: XSS, CSRF, CORS.

  • WSTG v4.2
  • ASVS 5.0

• GraphQL

  Introspección, batching y alias, autorización en campos anidados, profundidad y coste de las consultas.

  • Queries
  • Mutations

• OAuth, OIDC y JWT

  redirect_uri, PKCE, state y nonce, confusión de algoritmos, caducidad y rotación de tokens.

  • RFC 9700
  • JWT

• Caja blanca

  Si me das acceso al código, pruebo mejor y más rápido: revisión dirigida de las rutas que más riesgo concentran.

  • Revisión dirigida

• Retest incluido

  Verifico cada corrección y te entrego la versión 2 del informe con el estado de cada hallazgo.

  • Informe v2

 router.get('/v2/invoices/:id', auth, async (req, res) => {-  const invoice = await Invoices.findById(req.params.id);+  const invoice = await Invoices.findOne({+    id: req.params.id,+    customerId: req.user.customerId,+  });   if (!invoice) return res.sendStatus(404);   res.json(invoice); });

GET /v2/invoices/48214 HTTP/2Host: api.demo-corp.testAuthorization: Bearer eyJhbGciOiJSUzI1NiIs… (usuario A)Accept: application/json

HTTP/2 200 OKContent-Type: application/jsonCache-Control: no-store{  "id": 48214,  "cliente": "usr_9102",  "nif": "B••••••••",  "concepto": "Licencias anuales",  "total": "18.900,00 €"}

curl -i https://api.demo-corp.test/v2/invoices/48214 \  -H "Authorization: Bearer $TOKEN_A" \  -H "Accept: application/json"

[Informe de ejemplo completo en PDF] Para descargar sin formulario, en español e inglés.

1. Paso 01

   Día 0

   Alcance y autorización

   Llamada de 30 minutos, alcance por escrito y autorización firmada por el titular de los sistemas.

2. Paso 02

   Días 1–2

   Preparación

   Cuentas de prueba para cada rol, entorno, especificación OpenAPI o colección de Postman y contactos de emergencia.

3. Paso 03

   Según alcance

   Pruebas

   Manuales y guiadas por OWASP WSTG y API Security Top 10. Si encuentro algo crítico, te aviso en menos de 24 horas.

4. Paso 04

   +3 días

   Informe y cierre

   Informe en español e inglés con CVSS 4.0, CWE y requisito ASVS 5.0 en cada hallazgo, y reunión de cierre.

5. Paso 05

   Hasta 90 días

   Retest

   Verifico las correcciones y te entrego la versión 2 del informe con el estado de cada hallazgo.

• OWASP WSTG v4.2 +

  OWASP WSTG v4.2

  La guía de pruebas web de OWASP: estructura las pruebas manuales.

• OWASP ASVS 5.0 +

  OWASP ASVS 5.0

  Requisitos verificables, niveles 1 y 2. Cada hallazgo cita el suyo, por ejemplo v5.0.0-8.2.2.

• API Security Top 10 2023 +

  API Security Top 10 2023

  Los diez riesgos de API más frecuentes. Cada hallazgo lleva su categoría.

• CVSS 4.0 + CWE +

  CVSS 4.0 + CWE

  Puntuación con el vector completo y la debilidad de origen de cada fallo.

• ENS +

  ENS

  Informes alineados con el Esquema Nacional de Seguridad (RD 311/2022).

• NIS2 +

  NIS2

  Evidencia de gestión de vulnerabilidades y de eficacia de los controles (art. 21).

• DORA +

  DORA

  Pruebas de los artículos 24 y 25. Los TLPT del artículo 26 requieren un equipo rojo.

• ISO/IEC 27001:2022 +

  ISO/IEC 27001:2022

  Evidencia para los controles 8.8 y 8.29 del Anexo A.

• PCI DSS 4.0.1 +

  PCI DSS 4.0.1

  Requisito 11.4: pruebas de penetración periódicas y corrección de lo explotable.

• RGPD art. 32 +

  RGPD art. 32

  Verificación regular de la eficacia de las medidas técnicas de seguridad.

Estimación orientativa y no vinculante; precios sin IVA. Fórmula y tarifa de ejemplo de la maqueta: se ajustan en src/data/estimator.ts.

• ChuletaPróximamente

  Checklist de autorización en APIs: BOLA, BFLA y BOPLA

  Las pruebas que hago en cada endpoint, en español y con ejemplos de petición.

• Advisory[fecha]

  [CVE-AAAA-NNNNN · producto afectado]

  [Resumen del fallo, versiones afectadas y parche]

• Herramienta[fecha]

  [Nombre de tu herramienta]

  [Qué automatiza y enlace al repositorio]