Qué cubren las pruebas
Cada trabajo es una revisión acotada en tiempo de una aplicación web del cliente, sobre lo que está en el alcance escrito:
- Frontend y sesión: páginas, formularios, subidas de archivos, tokens, cookies y lo que un usuario con sesión puede alcanzar sin deber.
- Autenticación e identidad: login, SSO, recuperación de contraseña, invitaciones, chequeos de rol y límites entre tenants.
- API y backend: las llamadas que hace la propia interfaz de la aplicación, más autorización faltante, control de acceso a objetos, rutas de subida y controles de exportación o descarga.
Qué no cubren
- Sistemas que el cliente no posee ni controla. Sin escanear un tenant vecino, un proveedor ni ningún tercero.
- Red team de infraestructura de varias semanas o ingeniería social.
- Nada fuera del alcance escrito ni de la ventana de pruebas acordada.
Antes de empezar
- Autorización escrita del dueño del sistema. No empiezo sin ella.
- Alcance escrito: la URL objetivo (producción o staging), los roles a probar, las reglas de fuera de alcance y una ventana de pruebas.
- Acceso dado por el dueño: credenciales de prueba o una invitación SSO emitida por el cliente. Las pruebas empiezan solo cuando ese acceso funciona.
- En el checkout, el cliente pone la URL objetivo y confirma que puede autorizar el trabajo.
Durante las pruebas
- Trabajo como un usuario real de la aplicación, y como un segundo rol con más privilegios si el cliente lo da.
- Me mantengo dentro del alcance y las reglas acordadas, y anoto por severidad sobre la marcha.
- Todo estado de prueba que creo lo dejo como lo encontré.
Informe
- El cliente recibe un informe escrito, ordenado por severidad, con remediaciones prácticas.
- Los informes no incluyen payloads de exploit ni credenciales.
- Se incluye un retest de la misma aplicación dentro de 14 días, para que el cliente confirme que las correcciones funcionan.
Confidencialidad
Nunca publico nombres de clientes ni de sus aplicaciones en este sitio. El único trabajo que aparece en el portafolio se describe solo como una plataforma SaaS privada de analítica, con resultados agregados (2 hallazgos altos, 1 medio, 7 bajos y 7 informativos) y sin detalle técnico. Hay un informe de muestra redactado a pedido, sin nombres de clientes y sin payloads de exploit.
Uso de herramientas de IA
Uso asistentes de IA, incluido Claude, en este trabajo: para revisar lo que observo en objetivos dentro del alcance, ordenar hallazgos y redactar informes y guías de remediación. Las mismas reglas aplican a todo lo que tocan esas herramientas: solo sistemas cubiertos por la autorización escrita del cliente, solo dentro del alcance acordado y sin payloads de exploit en lo que se entrega.
Límites, en claro
Esto es una revisión enfocada de seguridad de aplicaciones, no un engagement certificado CREST, SOC 2 o PCI. No tengo certificaciones de seguridad y no declaro ninguna.
Contacto
Preguntas sobre esta práctica, o sobre un trabajo en particular, a security@michaelheredia.com. Los detalles de la oferta pagada están en la página de Revisión de seguridad.