¿Cómo hacer un test de seguridad web uno mismo? ¿Qué revisar antes de un pentest?

Hacer tu propio test es un excelente reflejo. Si inicias un pentest habiendo fallos básicos conocidos en el servidor, en el informe final solo te cobrarán páginas de "no actualizaste el software" y tirarás tu dinero. Primero cierra las puertas tú mismo, luego dale la llave al experto para que las fuerce.

El año pasado estuvimos en una situación similar. No podíamos destinar 4.000 EUR, así que primero le dedicamos 3 días a actualizar todos los paquetes de software y arreglar las cabeceras HTTP. Después, el test más acotado que contratamos nos salió 1.800 EUR porque el auditor entró a un sistema ya preparado y ordenado.

Haz esto hoy mismo por la noche: Crea dos usuarios de prueba B2B distintos en el sistema. Inicia sesión con uno, crea un pedido, copia la ID que sale en el enlace del pedido e intenta abrirla en el navegador del otro usuario. Si te carga la información del otro, ya encontraste gratis tu mayor vulnerabilidad.

No te fíes mucho de los escáneres de seguridad open source ya listos que bajas de internet. Suelen generar miles de falsos positivos y tu dev se va a marear sin saber qué arreglar, perdiéndose de vista los fallos críticos de autorización.

Esta es la checklist mínima que puedes hacer tú mismo: 1) Evita que se muestren las versiones del servidor y de la base de datos en los mensajes de error. 2) Pon límite de tasa (rate limiting) en el login contra ataques de fuerza bruta. 3) Asegúrate de no haber olvidado respaldos de la base de datos en el directorio público.

Que tu dev no tenga miedo, hay webs de análisis gratuitas geniales que califiquen las cabeceras de seguridad... Pones la url y te dan nota de la A a la F. pues solo con trabajar hasta dejar esa nota en A ya arreglas bastante el sistema.

las cuentas de prueba olvidadas y contraseñas débiles en el admin abren la puerta a más de la mitad de los ataques externos antes de pasar un escáner automático les diría q revisen las claves y el 2FA de todos.

Asegúrate de hacer los tests que ejecutes por tu cuenta fuera del horario laboral y en una copia del sistema en vivo. Un volumen alto de peticiones automáticas podría bloquear la base de datos o causar caídas del servicio en producción.

Quisiera hacer una pregunta. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Tomo nota, gracias. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

El punto que más se pasa por alto sobre test de seguridad web es este: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Por supuesto, cambia si tu situación es diferente.

Permíteme resumir lo que se ha dicho hasta ahora. Si regañas las falsas alarmas nadie volverá a reportar.

También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Lo importante no es la cifra, sino en qué se basa esa cifra.

Si escribís el resultado aquí también servirá de ayuda a otros.

lo que se dice aquí es exactamente lo que nos pasó. si regañas las falsas alarmas nadie volverá a reportar.

esta es mi opinión, no lo escribo como una verdad absoluta.

Lo probaré.

voy a resumir el tema porque se han dado varias respuestas diferentes luego pues todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

también me gustaría saber si alguien lo hace de otra manera.

Tema muy oportuno.