Nos han pedido hacer un pentest para nuestra web, ¿qué significa esto y de verdad es necesario?

El pentest suele hacerse con tres métodos: Black Box (sin dar ninguna información del sistema), White Box (dando acceso al código fuente y al servidor) y Gray Box (haciéndolo con permisos de usuario). Para un e-commerce, el más eficiente es el Gray Box, que imita tanto a un atacante externo como a un cliente con privilegios elevados.

Hace dos meses hicimos un test de 3 días para nuestra web, de una escala similar, y pagamos 38.000 TL. No guardábamos tarjetas pero encontraron una vulnerabilidad de autenticación en la API. Un usuario podía ver el historial de pedidos y las direcciones de todos los demás clientes. Solo con haber cerrado esa brecha ya valió la pena lo pagado.

Pregúntale bien el alcance a la empresa que te dio el presupuesto de 45.000 TL. En el mercado hay muchos sitios que ejecutan un programa automático y a las dos horas te entregan el resultado del software como si fuera un informe. ¿Van a hacer pruebas manuales? ¿cuántas horas/hombre van a trabajar? ¿el técnico tiene certificaciones válidas? Pide todo esto por escrito.

Si tu socio exige el informe no puedes librarte. Para bajar el presupuesto reduce el alcance: 1) Incluye solo la aplicación web, deja fuera la red interna, 2) Limita la prueba a 2 días laborables, 3) Haz constar en el contrato que quieres una reprueba (re-test) gratuita tras cerrar las brechas.

El año pasado, teniendo una pequeña tienda de joyas decíamos "quién nos va a hacer nada a nosotros". Un día entraron a la base de datos desde nuestro panel de clientes, borraron todas las direcciones de entrega y nos pidieron un rescate. Estuvimos dos semanas sin poder vender, recuperar la copia de seguridad y compensar la pérdida de datos nos costó muchísimo más que el precio del test.

usar una pasarela virtual ya lista solo protege las tarjetas.. luego si robban las direcciones y datos de contacto de miles de personas en la base de datos de la web, las sanciones de la kvkk seran mucho mayores a 45 mil liras.

¿Tu socio quiere un informe de auditoría independiente estándar o exige un test de intrusión acreditado por la TSE de nivel A o B? Si en los pliegos hay una acreditación específica, no tires el dinero con empresas de poca monta porque el informe no será válido.

Al ser la primera vez que lo haces que no te asuste el proceso. La web no se cae mientras la empresa de seguridad hace las pruebas; normalmente las hacen en una copia del sitio o de noche en horas de bajo tráfico de forma controlada.

A mí me pasó justo al revés, por eso escribo. No confíes en una sola medida; ve capa por capa.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Tiene razón.

os cuento lo que me pasó a mí a ver si os sirve de ayuda luego el tiepo que tardas en detectar un problema determina directamente su coste.

por supuesto, cambia si tu situación es diferente.

Yo también tengo curiosidad. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Comprobado por experiencia.

Gracias, esa era la respuesta que buscaba.

A nosotros también nos pasa.

Es correcto en general, pero falta un detalle. Que todo el mundo haga algo no significa que sea lo correcto.

Yo seguiría por ese camino.

yo no me apresuraría pero en fin tomar notas durante dos semanas da mejores resultados que estimar seis meses.

esta es mi opinión no lo escribo como una verdad absoluta.

A mí me pasó justo al revés, por eso escribo. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Comprobado por experiencia.

No sabía eso.