Auditoría de seguridad y hardening
Miramos tu infraestructura como lo haría un atacante y como lo haría un auditor, y después corregimos lo más importante. Recibes un informe priorizado y pull requests, no solo un PDF.
Una auditoría de seguridad de infraestructura es una revisión práctica de tus servidores, cuentas en la nube, exposición de red, accesos, secretos, backups y proceso de cambios, seguida del hardening de los hallazgos más importantes. Es para fintechs, empresas de pagos y negocios en crecimiento que tienen que responder a auditores, bancos o socios. Parte de 3.500 € y suele llevar 2–3 semanas.
Acordamos los sistemas incluidos y obtenemos acceso de solo lectura. Durante la revisión no se cambia nada.
Escaneo externo, revisión de accesos y secretos, comprobación de configuración y una restauración real.
Una lista priorizada de hallazgos, cada uno con su riesgo, su evidencia y su solución. Te la explicamos en una llamada.
Corregimos los hallazgos principales con pull requests y volvemos a probar, para que el informe termine con la prueba de que está resuelto.
Una auditoría útil no es una lista de 200 puntos. Nos centramos en los caminos que de verdad usan los atacantes y en las evidencias que de verdad piden los auditores:
.env o volcados de base de datos en la carpeta pública, backups en un bucket abierto.Alto: volcado de la base de datos de producción accesible por HTTP. Había un archivo
backup.sqlen la carpeta pública de la web que se podía descargar sin iniciar sesión. Contenía emails de clientes y hashes de contraseñas. Solución: archivo movido a cuarentena, servidor web configurado para rechazar archivos.sql,.zipy.env, credenciales rotadas y logs de acceso revisados en busca de descargas.
Cada hallazgo se redacta así: qué es, por qué importa, la evidencia y la solución.
No certificamos a nadie ni te vendemos una herramienta. Implantamos y documentamos controles técnicos para que tu QSA, tu auditor o tu banco reciban respuestas claras. Si un hallazgo exige una decisión que solo puedes tomar tú, como cambiar de proveedor o asignar presupuesto, el informe lo dice sin rodeos.
Dos tiendas online, 42.000 productos sincronizados desde 1C y cambios hechos directamente en el servidor en producción. Una semana después, el dueño publicaba cambios describiéndoselos a un agente de IA.
Una fintech europea que procesa pagos, tarjetas y cripto, con entre 20 y 50 personas y un núcleo regulado. Llevamos su DevOps a largo plazo: infraestructura como código, controles PCI DSS, conectividad de pagos y recuperación ante desastres.
Desde 3.500 € sin IVA para un entorno pequeño y bien definido, como unos pocos servidores o una cuenta en la nube. Antes de empezar recibes un presupuesto cerrado, así que el precio no crece por horas.
Normalmente 2–3 semanas: más o menos una semana de revisión y después el informe y el hardening de los hallazgos principales. Si encontramos algo urgente por el camino, te avisamos el mismo día.
No en sentido estricto. Un pentest intenta entrar desde fuera. Nosotros revisamos también la infraestructura por dentro: accesos, secretos, backups, parches y control de cambios. Muchas brechas empiezan ahí y un pentest no lo ve. Si además necesitas un pentest formal, te ayudamos a prepararlo.
No. La revisión es de solo lectura. Cualquier corrección se hace después, con una pull request o un cambio planificado que tú apruebas, con backup y vuelta atrás.
No. No somos un organismo de certificación. Recibes un informe con evidencias y hallazgos corregidos, que es lo que suelen pedir auditores, QSA y bancos.
La versión mínima útil cubre tu exposición pública, accesos, secretos y backups. Ahí empiezan la mayoría de los incidentes reales, y cabe en el precio de partida.
Cuéntanos a grandes rasgos qué tienes. Te proponemos un alcance y un precio cerrado, y te decimos con sinceridad si basta con una revisión más pequeña.