Nos dijeron "hagan un web pentest", ¿qué es exactamente esto y es obligatorio para nuestra web?

lamentablemente al trabajar con clientes corporativos grandes siempre saltan estas trabas burocráticas estándar... la lista no la exige el comprador al que le intreesan tus muebles sino el responsable de IT de la empresa. para cerrar el negocio no queda otra que conseguir ese informe.

Corrección: recordaba mal la cifra, era un poco más baja.

El mes pasado nos pasó algo parecido con nuestra web institucional de 8 páginas. El primer presupuesto fue de 30.000 TL. Limitamos el alcance a un solo dominio y formularios estáticos, nos cobraron 12.000 TL por dos días de trabajo, entregamos el informe y nos aprobaron el proyecto.

Pagar 25.000 TL de pentest para una web estática sin cobros es tirar la plata. Manden una nota oficial a compras del hotel explicando que no tienen registro de usuarios ni base de datos, solo un formulario de contacto, a ver si se los exceptúan.

El proceso es más o menos así: 1) Le das la URL y la estructura de tu web a la empresa de seguridad. 2) Los expertos hacen ataques de prueba a la web. 3) Arman un informe con las vulnerabilidades y soluciones. 4) Tu proveedor de hosting arregla los fallos y se le envía el informe final de verificación al cliente.

Pregunten bien a la empresa cuántos días tarda el informe y si la reevaluación después de corregir los fallos está incluida en el precio. Algunas cobran un extra por ese segundo control.

si solo hay un formulario de contacto saquen el formulario, pongan un mail y listo preguntenle al cliente si asi se salvan del pentest.

Si el margen del proyecto con el hotel cubre el costo del test, háganlo sin vueltas. Las empresas grandes no suelen hacer excepciones en sus procesos de seguridad, si insisten mucho se van a ir con otro proveedor.

Hay un error muy común al hacer esto. El tiempo que tardas en detectar un problema determina directamente su coste.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. Si escribís el resultado aquí, también servirá de ayuda a otros.

Ha sido una buena idea abrir este hilo.

Esto también tiene su parte de medición. Antes de decidir, mirad qué datos tenéis en la mano.

Comprobado por experiencia.

A nosotros nos pasó esto. pues lo importante no es la cifra, sino en qué se basa esa cifra.

Yo seguiría por ese camino.

¿Podría ampliar un poco esto? Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación. Corrijanme si me equivoco.

Le agradecería que compartiera el resultado.

Tengo una pregunta, no quiero desviarme del tema, pero... Si intentas cambiarlo todo a la vez, nada termina de asentarse.

A mí me pasó justo al revés, por eso escribo. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Eso es todo, disculpa si me he extendido demasiado.

Yo no me apresuraría. El tiempo que tardas en detectar un problema determina directamente su coste.

A nosotros nos pasó esto. Una copia de seguridad no probada no es una copia de seguridad.

También me gustaría saber si alguien lo hace de otra manera.

Tienes razón, yo también pasé por lo mismo. Si el permiso y el alcance no están por escrito que no empiece la prueba.

También me gustaría saber si alguien lo hace de otra manera.