Protección de datos personales
Entra en vigencia el 1 de diciembre de 2026. Exige medidas de seguridad apropiadas y notificar las vulneraciones de datos personales. Un pentest documenta qué revisaste y qué corregiste.
Pentest web · API · Portales AEC/BIM — LATAM
Encontramos lo que el scanner no ve.
Pentest manual de aplicaciones web y APIs para empresas SaaS y firmas de ingeniería y construcción. Lógica de negocio, autorización entre usuarios y fugas de datos, con cada hallazgo acompañado de cómo corregirlo y retest incluido.
75–80%del trabajo es manual
12–48 hrespuesta a hallazgo crítico
Retestincluido en cada servicio
18 añosen ingeniería y BIM
Por qué ahora
La regulación chilena ya no espera.
Las nuevas leyes de ciberseguridad y datos personales alcanzan a las empresas reguladas y también a quienes les venden software.
Ley Marco de Ciberseguridad
Con régimen sancionatorio activo, fiscaliza a los Operadores de Importancia Vital (OIV) y, de forma indirecta, a sus proveedores de software.
Clientes enterprise y auditores
Un pentest independiente y reciente es requisito habitual para cerrar ventas enterprise y pasar auditorías.
Especialistas en AEC / BIM
Tus planos y modelos también son datos sensibles.
18 años en ingeniería estructural y BIM. Conocemos cómo circulan los planos, modelos y accesos en un proyecto de construcción, y dónde se filtran.
Portales de proyecto
Control de acceso por rol, por proyecto y por empresa contratista.
CDE
Configuración de Trimble Connect, Autodesk Construction Cloud y similares.
Subcontratistas y externos
Cuentas que siguen activas al terminar la obra, permisos heredados y links compartidos.
Planos y modelos
Exposición de archivos RVT, IFC, DWG y PDF fuera del grupo autorizado.
Qué nos hace distintos
No es un scanner con logo.
Las vulnerabilidades que más duelen están en la lógica de tu aplicación, y esas solo las encuentra una persona.
01
Testing manual de verdad
75–80% del trabajo es manual: lógica de negocio, IDOR entre usuarios y tenants, autenticación y autorización.
02
Reportes en español
Reporte técnico más resumen ejecutivo, mapeado a OWASP y a la ley chilena, con pasos claros para corregir. Inglés a pedido.
03
Automatización con validación humana
Usamos herramientas y AI para reconocimiento y triage, y así dedicamos más horas a lo que importa. Cada hallazgo lo confirma una persona, y ningún dato tuyo se envía a servicios de AI en la nube.
04
Te acompañamos hasta la corrección
Cada hallazgo trae una recomendación concreta para corregirlo, y volvemos a probar hasta confirmar que el riesgo quedó cerrado. Retest ilimitado en los planes PTaaS.
Pentest continuo (PTaaS)
Seguridad que acompaña cada release.
Suscripción mensual en USD, contrato de 12 meses y retest ilimitado. Cada plan combina dos cosas distintas, y siempre te decimos cuál es cuál.
Pentest humanoUna persona prueba tu aplicación a fondo: lógica de negocio, autorización entre usuarios, autenticación. Es donde aparecen los hallazgos graves.
Monitoreo automatizadoEntre pentests, herramientas revisan tu superficie externa y escanean la app. Una persona descarta los falsos positivos antes de avisarte.
STARTER
690 USD/mes
1 app o API · USD 8.280 al año
Pentest humano
- 1 pentest manual al año
- Hallazgo crítico reportado en 48 h
Monitoreo automatizado
- Escaneo mensual con triage manual
- Superficie externa: mensual
GROWTH
1.490 USD/mes
Hasta 3 apps o APIs · USD 14.900 pagando el año
Pentest humano
- 2 pentests manuales al año
- Pruebas por release (4 días al año)
- Hallazgo crítico reportado en 24 h
- Reporte de cumplimiento anual
Monitoreo automatizado
- Escaneo mensual con triage manual
- Superficie externa: semanal
- Hallazgos directo a Jira, Slack o GitHub
SCALE
2.900 USD/mes
Hasta 6 apps o APIs · USD 34.800 al año
Pentest humano
- Pentest manual trimestral
- Pruebas por release (8 días al año)
- Pruebas de features con AI/LLM
- Hallazgo crítico reportado en 12 h
- Reporte de cumplimiento en cada pentest
Monitoreo automatizado
- Escaneo mensual con triage manual
- Superficie externa: semanal
- Hallazgos directo a Jira, Slack o GitHub
Pago anual: 2 meses gratis
Activo extra: +USD 350/mes en Growth y Scale
Si no cumplimos el SLA de un crítico, el mes siguiente es gratis
Proyectos puntuales
Precio fijo por alcance.
Valores en USD. Todos incluyen reporte técnico y ejecutivo, y un retest dentro de 60 días.
| Servicio | Testing | Precio |
|---|---|---|
| Web App Pentest — Essentials1 app, hasta 2 roles de usuario, autenticación estándar | 5 días | 2.900 |
| API PentestREST o GraphQL, hasta 40 endpoints, flujos de autenticación | 5–6 días | 3.400 |
| AEC Portal & CDE ReviewPortal de proyecto, configuración del CDE, accesos de subcontratistas | 5 días | 3.900 |
| Web + API ComboEssentials + API Pentest en un solo proyecto | 9–10 días | 5.500 |
| Web App Pentest — ProMulti-tenant, SSO, pagos, hasta 4 roles | 8–10 días | 5.900 |
+ USD 800Reporte de cumplimiento: Ley 21.663, 21.719, ISO 27001, SOC 2
+ USD 1.500Revisión de código fuente asistida (white box), por app
USD 600Retest adicional fuera de la ventana de 60 días
+ 25%Entrega urgente, en menos de 10 días hábiles
Metodología
Cuatro pasos, sin sorpresas.
Un método estándar y verificable, y un reporte que tu equipo puede usar para corregir el mismo día.
01
Alcance y autorización
Contrato, carta de autorización firmada y reglas de enfrentamiento claras.
02
Testing manual
OWASP WSTG y API Security Top 10, más la lógica de negocio propia de tu aplicación.
03
Reporte y llamada
Hallazgos con evidencia, severidad CVSS y una recomendación de corrección para cada uno.
04
Retest
Volvemos a probar y entregamos una carta de retest con el estado final de cada hallazgo.
Qué incluye el reporte
- Resumen ejecutivo con el riesgo general y las 3 acciones prioritarias para los próximos 7 días.
- Hallazgos detallados: ubicación, evidencia, impacto y puntaje CVSS v3.1.
- Corrección por hallazgo: una recomendación breve y accionable, no solo el problema.
- Plan de remediación por prioridad (7, 30 y 60 días) con esfuerzo estimado.
- Carta de retest con cada hallazgo marcado como corregido, mitigado o pendiente.
- Mapeo opcional a Ley 21.663, Ley 21.719, ISO 27001 y SOC 2.
- Ubicación
GET /rest/basket/{id}- Descripción
- Con la sesión de un cliente, cambiar el
iddevuelve la cesta de otro cliente. El servidor no verifica a quién pertenece el recurso. - Impacto
- Lectura de productos y datos de compra de cualquier cliente: una vulneración de datos personales.
CorrecciónObtener la cesta desde la identidad del token, no desde el parámetro, y aplicar control de propiedad en todos los recursos por id.
Ejemplo de un reporte hecho sobre OWASP Juice Shop, una aplicación de laboratorio intencionalmente vulnerable.
Ningún test empieza sin contrato y autorización escrita. Evidencias cifradas, borradas a los 90 días, y ningún dato de tu empresa se envía a servicios de AI en la nube.
Programa Fundadores · 3 cupos
Pentest piloto por USD 1.490 a cambio de un caso de estudio.
- Todo el alcance de Web App Essentials, con retest incluido.
- Si contratas PTaaS dentro de 30 días, el piloto se descuenta del primer mes.
- Plan Growth congelado en USD 1.290/mes durante el primer año.
Válido hasta el 31 de enero de 2027.
Postular a un cupoGratis · 48 horas
Diagnóstico 21.719
Desde el 1 de diciembre de 2026, la Ley 21.719 te exige proteger los datos personales que tratas y notificar sus vulneraciones. El diagnóstico te muestra qué ve hoy un atacante desde fuera, antes de que se convierta en un incidente que debas reportar.
- Revisión pasiva de subdominios, certificados, headers de seguridad, servicios expuestos y filtraciones públicas.
- Una página con 5 hallazgos priorizados, cada uno con su corrección y su relación con la ley.
- Sin tráfico de explotación, solo con tu autorización escrita.
¿Qué encontraría un atacante en tu app hoy?
Cuéntanos qué quieres probar y te enviamos una propuesta con alcance y precio fijo.