Servicios de pentesting pensados para entrega continua

Qué debería entregar de verdad un servicio de pentesting

La mayoría de los servicios de pentesting todavía se venden como los vendían las consultoras hace veinte años: defines un alcance, esperas semanas por un lugar en la agenda, recibes dos semanas de testing y un PDF, y después andas a ciegas hasta el próximo ciclo de presupuesto. Strike vende la misma expertise como una suscripción que no se detiene — porque los sistemas que se testean tampoco se detienen. Abajo está qué cubre y por dónde conviene entrar.

El alcance arranca desde los activos, no desde los días. Mapeamos lo que realmente expones — dominios y subdominios, las APIs detrás de tus front ends, cuentas de cloud, infraestructura externa, los backends de mobile que nadie se acordó de listar — y después acordamos qué entra y qué no. Ese inventario es el alcance, y como está monitoreado de forma continua, un activo que aparece el mes que viene se detecta en lugar de quedar silenciosamente fuera de un documento firmado en enero.

La profundidad se define aparte de la amplitud. Un sitio institucional y una API de pagos no necesitan el mismo nivel de atención, así que el esfuerzo de testing se concentra donde está el impacto de negocio: flujos autenticados, límites de privilegios, movimiento de dinero y todo lo que guarde datos de clientes.

Aplicaciones web externas y las APIs detrás de ellas, tanto REST como GraphQL, incluyendo flujos autenticados y los límites que deberían mantener separados a los tenants. Cuentas de cloud y su configuración, modelos de identidad y de permisos. Infraestructura externa, servicios expuestos y el borde de red. Backends de mobile. Sistemas internos cuando el alcance lo requiere.

Las superficies que se saltean suelen ser las que importan: un ambiente de staging que quedó alcanzable desde internet, un panel de administración interno viviendo en un subdominio público, una versión de API que se iba a deprecar hace dos trimestres. El descubrimiento continuo es lo que las saca a la luz, y corre haya o no haya alguien que se acordó de escribirlas en un documento de alcance.

Una contratación de alcance fijo tiene sentido cuando lo que se testea es fijo. Nada en un stack moderno lo es: despliegas todas las semanas, las dependencias se actualizan solas, la infraestructura se mueve y los permisos derivan. El modelo anual fue diseñado para un mundo de releases trimestrales y produce una falla predecible: un reporte limpio en marzo y un entorno sin validar de abril en adelante.

Una suscripción cambia la economía además de la cobertura. En vez de renegociar un contrato cada vez que quieres que algo se vuelva a testear, los retests están incluidos y atados al hallazgo que cierran. En vez de pagar aparte por cada aplicación nueva, la superficie queda cubierta a medida que crece. Y en vez de un reporte al año, acumulas un rastro de evidencia fechado — que es exactamente lo que pide un auditor.

Servicios de pentesting, en preguntas

¿Qué incluye un servicio de pentesting?

Definición de alcance y descubrimiento de activos, el testing en sí, la validación de cada hallazgo, un reporte con severidades y pasos de reproducción, guía de remediación y un retest que confirma que cada corrección realmente funcionó. Con Strike todo eso es continuo y está incluido, en lugar de ser una secuencia de fases cotizadas por separado.

¿Cómo se cotiza un pentesting?

Los proveedores tradicionales cotizan por días-tester, que es la razón por la que negociar el alcance es en realidad regatear cuánto tiempo va a mirar alguien. Strike cotiza por la superficie cubierta, como suscripción. Eso hace que el costo sea predecible y que no suba porque pediste que se retestee una corrección.

¿Cuánto dura un pentest?

Una contratación convencional lleva de dos a cuatro semanas de testing, después de un período de definición de alcance que muchas veces es más largo que el test. Con Strike el setup toma menos de 5 minutos una vez que están listos los datos del objetivo y los accesos, los primeros hallazgos suelen llegar dentro de 1–2 horas desde que arranca el testing para alcances soportados, y a partir de ahí el testing sigue a medida que tu entorno cambia.

¿Qué recibimos exactamente?

Hallazgos validados en una plataforma desde la que tu equipo puede trabajar, con severidad, evidencia y pasos de reproducción; remediación guiada; retesting on-demand; y reportes exportables y listos para auditoría que puedes entregar en la revisión de seguridad de un cliente o a un auditor sin tener que reescribirlos.

¿Qué servicio nos conviene?

Si despliegas software de forma continua, empieza por el testing continuo y suma profundidad en aplicaciones web. Si te estás preparando para una auditoría, empieza por el ángulo de evidencia para compliance. Si quieres saber si tu detección y respuesta funcionan de verdad, eso es un red team y no un pentest. La mayoría de los equipos termina combinando dos de los tres.

¿Cómo empezamos?

Agenda una demo. Mapeamos tu superficie externa con vos, acordamos alcance y profundidad, y arrancamos el testing. No hay maratón de compras ni compromiso mínimo de varios años para empezar.