Descripción del proyecto
TraducidoEstamos preparando el lanzamiento de una aplicación web que procesará datos sensibles de usuarios, y antes de entrar en producción necesitamos una evaluación de seguridad independiente de un especialista externo. No se trata de endurecimiento general del servidor o configuración de firewall, necesitamos una prueba de penetración específica de la aplicación misma con cobertura de toda la lista OWASP Top 10: inyecciones, autenticación rota y gestión de sesiones, control de acceso roto, scripting entre sitios, referencias directas a objetos inseguros, mala configuración de seguridad, exposición de datos sensibles y otras categorías. Es importante para nosotros que el evaluador piense como un verdadero atacante y revise la aplicación de la manera en que lo haría un adversario.
El trabajo debe combinar pruebas manuales y escáneres, porque la automatización por sí sola omite errores lógicos y defectos de autorización. Proporcionaremos un entorno de prueba, dos o tres cuentas con diferentes niveles de privilegio y un breve resumen de los principales escenarios. A cambio, esperamos un informe escrito claro: cada hallazgo se describe con pasos de reproducción, nivel de severidad (por ejemplo, por CVSS), impacto real y consejos prácticos de remediación con los que nuestros desarrolladores puedan trabajar. Pedimos que separe las vulnerabilidades confirmadas de las observaciones de baja confianza para que podamos priorizar correctamente.
Después de abordar los hallazgos, necesitaremos un retest: para confirmar que cada elemento está realmente corregido y que no han aparecido nuevos problemas. La confidencialidad es obligatoria: todo lo encontrado se mantiene estrictamente entre nosotros, los datos de nuestros sistemas no se copian en ningún lugar. Por favor, describa su metodología, estándares que sigue y un cronograma estimado para la auditoría, incluyendo el retest.
Lo que más nos importa:
— Cobertura completa de OWASP Top 10, trabajo manual más automatización
— Informe con niveles de severidad y recomendaciones de remediación
— Retest obligatorio para confirmar correcciones
El trabajo debe combinar pruebas manuales y escáneres, porque la automatización por sí sola omite errores lógicos y defectos de autorización. Proporcionaremos un entorno de prueba, dos o tres cuentas con diferentes niveles de privilegio y un breve resumen de los principales escenarios. A cambio, esperamos un informe escrito claro: cada hallazgo se describe con pasos de reproducción, nivel de severidad (por ejemplo, por CVSS), impacto real y consejos prácticos de remediación con los que nuestros desarrolladores puedan trabajar. Pedimos que separe las vulnerabilidades confirmadas de las observaciones de baja confianza para que podamos priorizar correctamente.
Después de abordar los hallazgos, necesitaremos un retest: para confirmar que cada elemento está realmente corregido y que no han aparecido nuevos problemas. La confidencialidad es obligatoria: todo lo encontrado se mantiene estrictamente entre nosotros, los datos de nuestros sistemas no se copian en ningún lugar. Por favor, describa su metodología, estándares que sigue y un cronograma estimado para la auditoría, incluyendo el retest.
Lo que más nos importa:
— Cobertura completa de OWASP Top 10, trabajo manual más automatización
— Informe con niveles de severidad y recomendaciones de remediación
— Retest obligatorio para confirmar correcciones
Programación web Efectivo, Transferencia bancaria
