Formularios y accesos
Comprobamos si los formularios de contacto, los buscadores o el acceso de clientes permiten colar código malicioso o entrar sin contraseña. Así evitas que alguien tome el control de tu web.
Tienda online y pagos
Revisamos el carrito, las cuentas de cliente y el proceso de compra. De este modo, reduces el riesgo de fraudes y de robos de datos de clientes que te obligarían a responder ante el RGPD.
Conexiones con otros sistemas
Muchas webs se conectan con el ERP, el CRM o la pasarela de pago. Por eso, comprobamos que esas conexiones no se conviertan en una puerta de entrada a los sistemas internos de tu empresa.
Servidor y alojamiento
Analizamos la configuración del servidor, los certificados y los plugins o complementos instalados. Además, detectamos versiones sin actualizar, que son la causa más habitual de los ataques a webs.
El método Apen: pentest web sin poner en riesgo tus ventas
- Alcance: acordamos contigo qué páginas, accesos y funciones se revisan, y si trabajamos sobre la web real o sobre una copia.
- Revisión técnica: analizamos la web siguiendo las categorías de riesgo de OWASP, la referencia internacional en seguridad web.
- Ataque controlado: intentamos aprovechar cada fallo encontrado para comprobar su impacto real, sin dañar datos ni interrumpir las ventas.
- Informe claro: te explicamos cada fallo con ejemplos, su nivel de riesgo y cómo corregirlo, para ti y para quien mantiene tu web.
- Comprobación final: cuando se han aplicado las correcciones, verificamos que los fallos quedan cerrados..
Por qué tu web necesita un pentest web aunque funcione bien
Que una web funcione bien no significa que sea segura. De hecho, la mayoría de ataques a webs de empresa no buscan tumbarla, sino pasar desapercibidos: robar datos de clientes, instalar código que redirige a otras páginas o usar el servidor para enviar spam. Además, una brecha de datos tiene consecuencias legales: el RGPD obliga a notificarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas, y en muchos casos también a los clientes afectados. Por eso, un pentest web es la forma de comprobar, antes de que ocurra, si tu web tiene alguna puerta abierta.
A diferencia de un análisis de vulnerabilidades, que detecta fallos conocidos de forma automática, el pentest web los pone a prueba como lo haría un atacante real. Por ejemplo, no se limita a avisar de que un formulario es vulnerable: comprueba qué información se podría obtener a través de él. Para ello, seguimos OWASP Top 10, la lista de referencia internacional de los riesgos de seguridad web más habituales. Así, el pentest web forma parte de nuestros servicios de hacking ético.
Asimismo, una auditoría de seguridad web documentada es cada vez más habitual en los contratos con grandes clientes. Y si tu empresa procesa o almacena directamente datos de tarjetas, la norma PCI DSS exige pruebas de penetración periódicas. ¿Quieres saber si tu web está protegida? Empieza por el diagnóstico gratuito de Apen. Llámanos al 938 606 220 o rellena el formulario de contacto.
