Empresas de pentesting en México: cómo elegir y qué pedir en la cotización

No hay un ranking fiable de las mejores empresas de pentesting en México, pero la diferencia entre una buena y una mala se ve en la cotización: quién hace las pruebas, qué parte es trabajo manual, qué entrega al final y qué pasa después del informe.

Esta guía es para quien lleva la seguridad o el área de TI de una empresa mexicana y tiene que elegir entre dos o tres proveedores. Trae los criterios para compararlos, una tabla de señales de alarma en una propuesta y las preguntas para la primera llamada. Nosotros también somos proveedores, así que al final contestamos la misma lista.

Qué cambia entre una empresa de pentesting y otra

Entre dos empresas de pentesting cambia sobre todo cuánto del trabajo hace una persona y cuánto una herramienta. De eso depende lo demás: qué fallos aparecen, qué informe recibes y cuánto cuesta. El nombre del servicio es el mismo en las dos cotizaciones, y por eso hay que mirar lo que hay debajo.

• › Trabajo manual. Un escáner encuentra versiones con vulnerabilidades conocidas. Una persona encuentra que el folio de un pedido ajeno se abre cambiando un número en la URL, que es el tipo de fallo que más daño hace en una aplicación con clientes.
• › Quién prueba. Las certificaciones que importan son las de la persona que toca tu sistema, como OSCP+ o CRTP, no las del director comercial. Desde noviembre de 2024 la OSCP+ caduca a los tres años, así que también se puede preguntar si está vigente.
• › Metodología con nombre. La OWASP Web Security Testing Guide para aplicaciones web, el OWASP API Security Top 10 para API o PTES para el encargo completo. Una «metodología propia» sin documento no se puede comprobar.
• › Qué entregan. Un informe técnico con la evidencia y los pasos para reproducir cada hallazgo, un resumen para dirección y, en el mejor caso, una sesión para explicarlo. Qué tiene que traer está en qué debe incluir un informe de pentesting.
• › Qué pasa después. Si el retest está incluido, tu equipo corrige y alguien comprueba que la corrección funciona. Si no, te quedas con una lista de fallos y sin forma de demostrar que ya no están.

Que el proveedor tenga oficina en tu ciudad pesa menos de lo que parece. Casi todo un pentesting se hace en remoto, y solo la red interna o la red inalámbrica exigen estar dentro, con un equipo en sitio o con un acceso acordado. Lo que sí importa es que ese acceso y su calendario se decidan antes de firmar.

Pruebas manuales o un escáner: cómo saberlo antes de firmar

Para saber si te van a vender un escáner, pide el desglose de jornadas por persona y un hallazgo de ejemplo con sus pasos para reproducirlo. Un proveedor que trabaja a mano te da las dos cosas sin problema. Uno que revende una herramienta cotiza un precio cerrado y manda un PDF genérico.

1. 01Pregunta cuántas jornadas de auditor hay en la cotización. Una aplicación con varios roles de usuario y una página informativa no se prueban en el mismo tiempo; si el número no cambia con el alcance, no hay nadie detrás contándolo.
2. 02Pide un informe de ejemplo, aunque venga anonimizado. Busca un hallazgo de lógica de negocio o uno que encadene dos fallos menores para llegar más lejos. Una herramienta no produce ninguno de los dos.
3. 03Fíjate en lo que te piden a ti. Para probar una aplicación con inicio de sesión hacen falta cuentas de prueba con roles distintos. Quien no las pide no va a probar lo que hay detrás del acceso, que es donde están los datos.

Un escáner tiene su lugar: sirve para inventariar lo expuesto y para vigilar entre una auditoría y la siguiente. El problema no es usarlo, que lo usamos todos como punto de partida. Es pagarlo como si fuera un pentesting.

Qué pedir por escrito en la cotización

Una cotización seria repite tu alcance con sus palabras, nombra a quién hace el trabajo y dice qué recibes al final y qué pasa después. Lo que no esté escrito ahí no forma parte del encargo, por mucho que se dijera en la llamada.

• › El alcance con nombre: qué aplicaciones, dominios, direcciones IP o versiones de la app para celular entran, y qué queda fuera.
• › La modalidad (caja negra, gris o blanca) y si se prueba en producción o en un entorno de pruebas igual a producción.
• › Las jornadas, las fechas y la ventana horaria. Si el proveedor trabaja desde otro país, que el horario venga en hora del centro de México.
• › La metodología con la que se prueba y el perfil de quien lo hace, con sus certificaciones.
• › Los entregables: informe técnico, resumen ejecutivo y si hay presentación de resultados.
• › El retest: si está incluido, hasta cuándo se puede pedir y si termina en un informe nuevo.
• › Qué pasa con lo crítico: a quién avisan y por qué vía si aparece algo grave a mitad de la prueba.
• › El trato de las evidencias. Las capturas suelen llevar datos personales de tus clientes, y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga en su artículo 20 a que guarde confidencialidad todo el que intervenga en el tratamiento, también después de terminar la relación. Pide un acuerdo de confidencialidad y que diga cuándo se destruyen.
• › El precio cerrado, la moneda y qué incluye.

Antes de la primera prueba falta un documento más: la autorización firmada por quien es titular de los sistemas, con los activos y las fechas. Si algo está alojado en un proveedor de nube o lo mantiene un tercero, revisa sus condiciones, porque puede hacer falta también su permiso.

Señales de alarma en una propuesta

La señal de alarma más clara llega antes que la propuesta: un precio sin una sola pregunta sobre lo que hay que probar. La tabla pone al lado lo que conviene ver en una cotización y lo que debería hacerte pedir una segunda.

La última fila merece una línea aparte. Un pentesting dice qué se encontró en lo que se probó, en unas fechas concretas. Nadie puede certificar que un sistema es seguro, y quien lo ofrece está vendiendo un papel. Para poner tres cotizaciones lado a lado con los mismos criterios, la tabla completa está en cómo comparar proveedores y presupuestos de pentesting.

Cuándo te van a pedir un pentesting en México

En México casi nunca lo pide una ley de forma literal. Lo suele pedir un cliente, un banco o un estándar al que te has adherido, y la ley lo que exige es poder demostrar que la seguridad funciona. Estos son los casos más habituales.

• › Un cliente corporativo o un banco con el que te vas a integrar. El cuestionario de proveedores pregunta por el último informe de pruebas de intrusión y por su fecha.
• › Si eres una fintech. La Ley Fintech pide evaluar la seguridad por medio de terceros independientes, y qué significa eso en la práctica está en pentesting para fintech en México.
• › Si procesas tarjetas. PCI DSS, en su versión 4.0.1, pide pruebas de penetración internas y externas al menos cada doce meses y después de cada cambio significativo (requisitos 11.4.2 y 11.4.3).
• › Por la protección de datos. El artículo 18 de la ley de 2025 obliga a mantener medidas de seguridad administrativas, técnicas y físicas. No nombra el pentesting, pero un informe con los hallazgos corregidos es una de las formas de demostrar que las técnicas funcionan.
• › Si vas a certificarte en ISO 27001. El auditor pide evidencias de que los controles técnicos funcionan, y cómo sirve ahí un informe está en pentesting e ISO 27001.

La Ley Federal de Ciberseguridad lleva tiempo en trámite y no conviene contratar pensando en ella. En qué punto está lo seguimos en ley de ciberseguridad en México, y el panorama general del país, en ciberseguridad en México en 2026.

Preguntas para la primera llamada con el proveedor

La primera llamada sirve para descartar más que para elegir. Con estas preguntas, en media hora sabes si el proveedor va a probar tu sistema a mano o a pasar una herramienta, y si la cotización que llegue después se podrá comparar con las demás.

1. 01¿Quién va a hacer las pruebas y qué certificaciones tiene vigentes?
2. 02¿Cuántas jornadas calculan para mi alcance y cuántas son de trabajo manual?
3. 03¿Qué necesitan de nosotros: cuentas de prueba, roles, acceso por VPN, un entorno de pruebas?
4. 04¿Contra qué metodología prueban, y me pueden mostrar un informe de ejemplo?
5. 05¿Qué hacen si encuentran algo crítico a mitad de la prueba?
6. 06¿El retest está incluido, hasta cuándo lo puedo pedir y termina en un informe nuevo?
7. 07¿Desde dónde trabajan y en qué horario harían las pruebas sobre producción?
8. 08¿Qué pasa con las capturas y los datos que vean cuando termine el trabajo?

Si una respuesta es vaga en la llamada, va a ser igual de vaga en la cotización. Apúntala y pide que la pongan por escrito.

Nuestras respuestas a la misma lista

Las pruebas las hace un equipo con certificaciones OSCP+ y CRTP, a mano y contra metodologías públicas (OWASP y PTES), con más de 300 auditorías hechas así. La herramienta es el punto de partida, no el resultado. Entregamos el informe técnico con la evidencia de cada hallazgo, el resumen ejecutivo y una presentación a dirección, y el informe suele llegar en unos 10 días, según el alcance.

El retest va incluido: lo pides cuando hayas corregido, dentro de los seis meses siguientes a la entrega. Trabajamos en remoto, con el horario de las pruebas acordado en hora de México, y los precios de partida están publicados: pentesting web desde 1.140 €, pentesting de API desde 760 €, superficie externa desde 450 € e infraestructura interna desde 1.520 €.

Si quieres ponernos en la misma tabla que a los demás, pide la cotización desde la página de pentesting en Ciudad de México con tu alcance, aunque sean cinco líneas. Te devolvemos una cotización cerrada, con lo que incluye por escrito, para que la compares fila a fila.