Un pentest es una evaluación de seguridad mediante pruebas controladas y autorizadas. Su utilidad está en identificar problemas que su organización pueda comprender y corregir. Contratar únicamente un informe extenso, sin acordar sistemas, límites y seguimiento, dificulta convertir los hallazgos en mejoras reales.
Defina alcance y autorización por escrito
Identifique aplicaciones, ambientes, dominios y perfiles de usuario incluidos. Confirme quién está facultado para autorizar las pruebas y qué restricciones imponen terceros. Un servicio conectado a su aplicación no queda automáticamente autorizado por estar en el mismo flujo.
Acuerde ventanas de trabajo, contactos de emergencia y condiciones de suspensión. Explique qué operaciones podrían afectar la continuidad y qué actividades quedan excluidas. Prepare cuentas de prueba representativas para evaluar diferencias de permisos sin utilizar identidades de personas ajenas al ejercicio.
Busque cobertura de su lógica de negocio
OWASP WSTG incluye áreas como autenticación, autorización, validación y registros. Es una referencia para estructurar pruebas, pero el alcance concreto debe responder a su aplicación. Un listado genérico de vulnerabilidades no reemplaza la revisión de cómo funcionan sus aprobaciones o la separación entre organizaciones.
Ejemplo ilustrativo: un sistema permite que una persona consulte sus solicitudes. La evaluación debe comprobar si las restricciones se mantienen en todas las formas de acceso, no solo si la pantalla oculta un botón. También interesa qué ocurre con una sesión después de cambiar o retirar permisos.
Pida hallazgos que permitan actuar
Cada hallazgo debería describir el activo afectado, las condiciones de la prueba, evidencia suficiente y una explicación del impacto. La recomendación debe orientar una corrección concreta. Evite que el informe difunda más información sensible de la necesaria y acuerde un canal seguro para su entrega.
Priorice con contexto: exposición, posibilidad de explotación, datos afectados y consecuencias para la operación. Una puntuación técnica ayuda a ordenar, pero el equipo necesita saber qué debe corregir primero y qué medidas temporales puede aplicar mientras desarrolla una solución definitiva.
Reserve tiempo para corregir y volver a comprobar
Asigne responsable y fecha a cada acción. Después de corregir, solicite una verificación sobre las condiciones que originaron el hallazgo y los flujos relacionados. Cambiar una pantalla no demuestra que la restricción del servidor se haya reparado.
Un pentest describe lo observado dentro de un alcance y un período. No garantiza ausencia de vulnerabilidades futuras. Incorpore sus conclusiones al desarrollo, la gestión de accesos y el mantenimiento. En JG trabajamos con pruebas autorizadas, hallazgos priorizados y acompañamiento para revisar correcciones.
Del artículo a la práctica
Antes de comenzar
- Autorización, activos y exclusiones por escrito.
- Contactos y condiciones de suspensión.
- Perfiles y flujos de negocio representativos.
- Informe con evidencia, impacto y acciones.
- Corrección y verificación posterior contempladas.
Fuentes y referencias
Consultadas el 15 de septiembre de 2026. Los ejemplos de implementación son ilustrativos; las recomendaciones de JG deben ajustarse al alcance de cada organización.