Prueba de Penetración de Aplicación Web

Estamos lanzando una aplicación web que maneja cuentas de usuario, pagos y documentos subidos, y antes de abrirla al público queremos una verificación de seguridad independiente. Nuestros propios desarrolladores han seguido buenas prácticas, pero están cerca del código y pueden tener puntos ciegos. Necesitamos un especialista que mire la aplicación como lo haría un atacante y nos diga honestamente dónde puede ser vulnerada.

El alcance es una prueba de penetración básica de la capa web: autenticación y manejo de sesiones, control de acceso entre roles de usuario, validación de entradas y los sospechosos habituales como inyección, scripting entre sitios, referencias de objetos directos inseguras y debilidades en la carga de archivos. Podemos proporcionar cuentas de prueba en diferentes niveles de privilegio y una copia de staging para que nada toque los datos de clientes en vivo. También nos gustaría una rápida revisión de encabezados de seguridad, banderas de cookies y flujos de restablecimiento de contraseñas.

El entregable más importante es el informe. No queremos un volcado crudo del escáner; queremos que cada hallazgo esté descrito en un lenguaje claro con su gravedad, un ejemplo concreto de cómo se explota, el impacto potencial y una recomendación clara sobre cómo solucionarlo. Un breve resumen ejecutivo para la gerencia y una sección técnica para los desarrolladores sería ideal. Por favor, indíquenos su metodología, aproximadamente cuánto tiempo toma el trabajo y cómo maneja los hallazgos sensibles de manera responsable.