Auditoría de seguridad de webs, aplicaciones, API y software
Superficie de ataque, cabeceras, TLS, autenticación, permisos, validación, dependencias, configuración del hosting.
Ámbito C
Ciberseguridad
Revisamos tus webs, aplicaciones, API y configuraciones como lo haría un atacante, pero con tu permiso, en un alcance acordado y con un informe por escrito con acciones concretas. Sin promesas de «seguridad total».
Ámbito nuevo de AXION. El alcance y el formato del trabajo se cierran por escrito antes de empezar. Lo que ya está hecho en la práctica, más abajo.
AXION SECURITY LABEscenario didáctico
01Usuario
02API / petición
03Acceso
04Datos
ACCESS CONTROL / LAB-01Hallazgo
Un registro ajeno por enlace directo
En el ejemplo, el usuario cambia el ID de la petición y obtiene el registro de otra cuenta. El servidor no comprueba quién es el propietario.
GET /api/records/other → 200Acceso permitidoPruebaLímites de acceso vulnerados
Ilustración con datos de demostración. No analiza tu web ni muestra resultados de una auditoría real.
Qué resolvemos
Cuándo hace falta
- La web o la aplicación la hicieron terceros y nadie ha revisado qué pasa con las contraseñas, los accesos y las actualizaciones.
- Clientes, socios o el RGPD te piden demostrar que los datos están protegidos, y no tienes nada que enseñar.
- Hay una API o integraciones con pagos y no está claro quién puede hacer qué sin permiso.
- Ya ha pasado algo y necesitas saber qué está expuesto antes de que se repita.
Qué incluye
Líneas de trabajo
Revisión de código y búsqueda de vulnerabilidades
Lectura del código centrada en datos de entrada, accesos, secretos, gestión de errores y llamadas externas.
Pentest autorizado, confirmación de hallazgos y retest
Solo con permiso por escrito y en el alcance acordado. Cada hallazgo, con evidencia y pasos para reproducirlo; tras la corrección, retest.
Revisión de configuraciones, identidades, permisos e infraestructura
Servicios en la nube, DNS, correo (SPF, DKIM, DMARC), accesos del personal, copias de seguridad.
Refuerzo de la protección y seguridad en el ciclo de desarrollo
Cabeceras de seguridad, política CSP, límites, secretos en el servidor, comprobaciones en CI, plan de recuperación.
Alcance
- Lista acordada de activos: dominios, aplicaciones, API, repositorios, cuentas. Solo tuyos o con permiso escrito del propietario.
- Profundidad a elegir: revisión externa sin accesos, con una cuenta de usuario o con acceso al código.
- Reglas del trabajo: ventanas horarias, qué está prohibido (carga, modificación de datos), contacto por si hay un incidente.
- Hallazgos con nivel de riesgo, evidencia, pasos para reproducirlos y una recomendación concreta.
- Retest de las correcciones en el alcance acordado.
Qué recibes
- Informe para dirección: qué es crítico, qué es importante, qué puede esperar, y por qué.
- Informe técnico para el equipo de desarrollo: cada hallazgo con reproducción, recomendación y referencia al código o a la configuración.
- Lista de lo revisado, para que quede claro qué se ha cubierto y qué no.
- Acta del retest: qué hallazgos se han cerrado y cuáles siguen abiertos.
Qué no hacemos
- No prometemos «seguridad total» ni ausencia de vulnerabilidades: la revisión cubre el alcance acordado en el momento de hacerla.
- No probamos sistemas ajenos sin permiso escrito del propietario, ni hacemos pruebas de carga o destructivas en producción.
- No ofrecemos un centro de monitorización permanente (SOC/MDR) ni presumimos de certificaciones que no podamos acreditar con documentos.
- No recogemos contraseñas, claves ni volcados por el formulario público: para material sensible hay un procedimiento de entrega aparte.
Proceso
Cómo trabajamos
- 01
Alcance y permiso
Qué revisamos, con qué profundidad, en qué horario, qué está prohibido. Permiso por escrito del propietario de los activos.
- 02
Reconocimiento y revisión
Superficie externa, configuraciones, autenticación, permisos, validación, dependencias. Si hace falta, el código.
- 03
Confirmación de hallazgos
Cada problema se reproduce y se documenta. Sin «posiblemente vulnerable»: o hay evidencia o no entra en el informe.
- 04
Informe y plan de corrección
Dos versiones del informe. Explicamos las prioridades con palabras sencillas.
- 05
Retest
Después de las correcciones volvemos a comprobar y dejamos constancia de lo que se ha cerrado.
Precio
Presupuesto por alcance, cerrado antes de empezar
El precio depende de qué se revisa y con qué profundidad. Tras una conversación corta te enviamos una propuesta con la lista exacta de activos y trabajos, y el precio cerrado.
- Número de activos: dominios, aplicaciones, API, cuentas.
- Entornos: producción, pruebas o los dos.
- Profundidad: sin accesos / con cuenta de usuario / con acceso al código.
- Qué entra en el informe y si hace falta retest.
- Limitaciones de horario y reglas del trabajo.
Servicios acotados de este ámbito
Una revisión técnica pagada no es lo mismo que la conversación gratuita sobre tu caso. Las pruebas activas, solo con permiso por escrito del propietario.
Servicio
Auditoría básica de seguridad de la web
Alcance
Un dominio y una web: TLS, cabeceras, DNS, recursos expuestos, configuraciones accesibles y dependencias.
Resultado
Informe, riesgos confirmados y prioridades. No incluye pentest completo ni correcciones.
Servicio
Revisión de seguridad del código
Alcance
Un repositorio, hasta 10.000 líneas de código propio y una sola tecnología; las dependencias no cuentan para ese límite.
Resultado
Revisión de accesos, secretos, datos de entrada y llamadas externas; informe con referencias al código.
Servicio
Pentest manual de aplicación web
Alcance
Una aplicación, hasta 2 roles y 20 rutas acordadas; un entorno.
Resultado
Pruebas manuales, confirmación de hallazgos, informe técnico y resumen para dirección; 1 retest en 30 días.
Servicio
Pentest de API
Alcance
Una API REST, hasta 20 endpoints y 2 roles: autenticación, accesos, validación y lógica de negocio.
Resultado
Evidencias, peticiones para reproducir, recomendaciones; 1 retest en 30 días. Sin ataques de carga.
Servicio
Auditoría de configuración y accesos en la nube
Alcance
Una cuenta en la nube, hasta 10 recursos y 10 identidades; acceso solo de lectura.
Resultado
Riesgos de permisos, almacenamiento, secretos y copias de seguridad. Sin pentest de red interna.
Servicio
Refuerzo de la protección y comprobaciones en CI
Alcance
Una web o servicio, hasta 5 controles acordados: CSP, secretos, límites, dependencias, comprobaciones en CI.
Resultado
Cambios de código o configuración y nueva comprobación de los controles acordados.
Servicio
Retest independiente o adicional
Alcance
Hasta 10 hallazgos de un informe entregado, una aplicación o API, un ciclo de comprobación.
Resultado
Estado de cada hallazgo con evidencias. El primer retest de nuestros pentests ya va incluido en su precio.
La tabla completa de paquetes, mantenimiento y costes de terceros está en la página «Precios».
En qué se apoya
Hechos, no promesas
- Este ámbito se abre como servicio nuevo. Aquí, solo lo que ya está hecho en la práctica.
- Esta misma web se sirve con cabeceras de seguridad, política CSP estricta (sin scripts ni estilos en línea), certificado TLS y sin terceros: puedes comprobarlo con cualquier analizador público de cabeceras.
- La revisión pública de webs (cabeceras, TLS, formularios, velocidad) forma parte de nuestra rutina antes de cada contacto con un negocio; la herramienta es propia y no interviene en sistemas ajenos.
- Nuestros propios sistemas pasaron una revisión técnica interna en octubre de 2026: los defectos encontrados (límites, historial de conversaciones, protección frente a SSRF) se reprodujeron con tests y se corrigieron en el código.
- El Security Lab de esta página es una demostración con datos ficticios: enseña el ciclo hallazgo → corrección → retest, no escanea tu web.
Preguntas
Lo esencial, en corto
¿Se puede revisar la web de un competidor o de un proveedor?
No. Solo revisamos activos tuyos o con permiso escrito de su propietario.
¿Esto puede romper mi web?
Las reglas del trabajo excluyen acciones destructivas y de carga en producción. Si una prueba implica riesgo, se hace en una copia de pruebas.
¿Qué pasa si aparece algo crítico durante la revisión?
Te avisamos de inmediato por el canal acordado, sin esperar al informe, y proponemos una medida temporal para reducir el riesgo.
¿Me sirve para el RGPD?
Te sirve para tener algo que enseñar: qué se revisó, qué se encontró y qué se corrigió. No es una certificación ni una auditoría legal; para eso está tu asesor de protección de datos.
Empecemos por tu caso
Cuéntanos qué necesitas o mándanos un enlace a tu web. La primera conversación es gratuita y sin compromiso: fijamos objetivo, alcance y siguiente paso. La auditoría técnica es un servicio aparte, con precio cerrado en la propuesta.