Servicios de pentesting: qué tipos hay y cuál encargar primero

Los servicios de pentesting se distinguen por la pregunta que responde cada uno: qué ve un atacante desde Internet, hasta dónde llega si ya está dentro, si tu aplicación deja ver datos de otros clientes y quién puede leer tu correo. Elegir bien es elegir la pregunta.

Aquí están los doce servicios técnicos de Pentesting Team, agrupados en cuatro familias y con el precio de partida de cada uno. El decimotercero, la auditoría del sistema de gestión para ISO 27001, ENS o NIS2, revisa controles y procesos en lugar de probar sistemas, y se queda fuera de este mapa. No explicamos qué es un pentesting ni de dónde sale la cifra del presupuesto: eso está en qué es una auditoría de pentesting y en cuánto cuesta un pentesting. Este artículo sirve para decidir cuál pedir.

Qué servicio necesitas depende de qué te preocupa

Pedir «un pentesting» a secas obliga al proveedor a adivinar qué quieres probar, y por eso llegan tres presupuestos que no se pueden comparar: uno ha cotizado la web, otro la red y otro las dos. Un pentest siempre se hace contra algo concreto, sea un rango de direcciones, una aplicación, una red o una cuenta de correo corporativo. Antes de pedir precio, conviene saber cuál de estas cuatro preguntas te quita el sueño.

• ›¿Qué ve de mi empresa cualquiera desde Internet? Es la familia de lo expuesto: superficie externa y web corporativa.
• ›¿Qué pasa si alguien ya ha entrado? Es la familia de lo interno: red, Active Directory, firewall y WiFi.
• ›¿Mi aplicación deja a un cliente ver lo de otro? Es la familia de las aplicaciones: web, API, móvil y escritorio.
• ›¿Quién puede entrar en el correo y los documentos? Es la familia de la nube: Microsoft 365 y Google Workspace.

Si te reconoces en más de una, no hace falta contratarlas todas a la vez. Al final del artículo proponemos por dónde empezar según el tipo de empresa.

Lo que se ve desde Internet: perímetro y web corporativa

La auditoría de superficie externa, desde 450 €, responde a qué tiene tu empresa publicado sin que nadie lo recuerde. Buscamos subdominios de proyectos antiguos, servicios abiertos que no deberían estarlo, como un escritorio remoto o el panel de una VPN, y credenciales de tus empleados que aparecen en filtraciones de otros servicios. Entregamos el inventario de lo expuesto con cada fallo ordenado por lo fácil que resulta aprovecharlo.

La auditoría de web corporativa, desde 760 €, se centra en la web que te representa o en la tienda online montada sobre un gestor de contenidos. Ahí el riesgo suele estar en un plugin sin actualizar, en un panel de administración accesible o en una copia de seguridad olvidada en una carpeta pública. Si en tu web los usuarios entran con su cuenta para trabajar con sus datos, ya no es una web corporativa: es una aplicación, y va en la familia de más abajo.

Lo que pasa si alguien ya está dentro: red interna y Active Directory

La pregunta aquí es otra: un empleado abre un adjunto malicioso, o una visita deja conectado un aparato en una toma de red libre, y a partir de ahí, ¿hasta dónde se llega? La auditoría de infraestructura interna, desde 1.520 €, lo comprueba trabajando desde dentro de tu red como lo haría quien ya ha entrado: se mueve entre equipos con las contraseñas que encuentra guardadas y escala privilegios hasta donde la segmentación le deje.

Si tu red funciona con un dominio de Windows, la auditoría de Active Directory, desde 450 €, revisa a fondo ese dominio, que es donde se decide quién manda sobre todos los equipos. Mira las delegaciones, las cuentas privilegiadas y los ataques sobre Kerberos que llevan de un usuario cualquiera a administrador del dominio. La interna ya pasa por el dominio; la de Active Directory lo audita entero.

En esta familia hay dos servicios más acotados. La auditoría de firewall, desde 450 €, comprueba si las reglas separan de verdad las zonas que dicen separar. La de redes WiFi, desde 1.140 €, mide si alguien desde la calle o desde la red de invitados puede saltar a la red de la empresa.

Tus aplicaciones: web, API y móvil

Si vendes o das servicio a través de una aplicación, la pregunta que más pesa es si un cliente puede ver lo de otro. Responde a eso el pentesting de aplicaciones web, desde 1.140 €; el de APIs, desde 760 €; el de aplicaciones móviles, desde 1.140 €; y el de software de escritorio, desde 1.140 €, para programas que se instalan en el equipo del usuario.

Aquí se ve mejor que en ningún sitio la diferencia entre un pentest manual y un escaneo automático. Un ejemplo: entras en tu cuenta y descargas tu factura en una dirección que termina en /facturas/1043. Cambias el número a 1044 y la aplicación te devuelve la factura de otra empresa. Para un escáner esa respuesta es una página correcta, sin errores. Para detectarlo hay que saber que la 1044 no es tuya, y eso lo sabe una persona que ha entrado con dos cuentas distintas y compara lo que ve cada una.

Este fallo tiene nombre, autorización rota a nivel de objeto, y la OWASP lo sitúa en el primer puesto de su lista de riesgos de APIs de 2023. Uno de sus ejemplos es una API de ventas en la que basta cambiar el nombre de una tienda para leer la facturación de miles de tiendas ajenas. La comparación completa entre los dos métodos está en en qué se diferencia de un escaneo.

Cuál pedir depende de cómo está hecho tu producto. Si es una aplicación móvil, el pentesting móvil revisa lo que guarda el teléfono y lo que envía por la red. La API que hay detrás se puede auditar aparte y a fondo, y conviene hacerlo cuando la consumen también tu web o empresas que se integran contigo.

Correo y nube: Microsoft 365 y Google Workspace

La pregunta de esta familia es qué pasa si roban una contraseña. La auditoría de Microsoft 365 y la de Google Workspace, las dos desde 450 €, revisan si la verificación en dos pasos está activada para todas las cuentas, qué administradores sobran y qué aplicaciones de terceros tienen permiso para leer el correo o los documentos de toda la empresa.

Conviene decir qué es y qué no es. Aquí no se intenta entrar por la fuerza: se revisa la configuración de tu cuenta de empresa contra los CIS Benchmarks, las guías de configuración segura del Center for Internet Security. Para una empresa sin servidores propios, ese entorno suele ser donde están todos sus datos, y por eso a menudo es la primera auditoría con sentido.

Cada servicio, qué pregunta responde y desde cuánto

Los doce servicios en una tabla, con el precio de partida publicado en cada ficha a fecha de octubre de 2026. El precio final depende del número de activos, de usuarios y de roles que haya que probar.

Todos entregan lo mismo en forma: un informe técnico con cada hallazgo, su evidencia y cómo corregirlo; un resumen ejecutivo para quien decide el gasto; y una presentación de resultados a dirección. El retest va incluido en todos: lo pides cuando hayas corregido, dentro de los seis meses siguientes a la entrega, y comprobamos que cada fallo está cerrado.

Por dónde empezar si es tu primer pentesting

Casi nadie necesita los doce. Estas son las combinaciones que proponemos según el tipo de empresa, con el servicio por el que empezaríamos y el que vendría después.

Si es un cliente o una norma quien te pide el pentesting, pregunta qué activo exactamente quiere ver auditado y pídelo por escrito: casi siempre es una aplicación o el perímetro, no «todo». Y si quieres repartir el gasto a lo largo del año, en pentesting para pymes hay un calendario mes a mes.

Cuando sepas qué pregunta quieres responder, elige el servicio en nuestra página de servicios y pide presupuesto de ese en concreto, con lo que haya que probar: dominios, la dirección de la aplicación o el número de equipos. Solemos enviar el presupuesto en unas 24 horas y el informe en torno a 10 días, según el alcance.