Una pyme no necesita un informe de 80 páginas para quedar bien en un cajón. Necesita saber si el login se puede saltar, si un cliente ve el pedido de otro y si el formulario de contacto es una puerta. El pentesting web que hago va a eso: superficie real, no teatro de Kali en un vídeo.
Empiezo por el mapa. Qué URLs hay, qué cookies, qué API, qué panel. Luego autenticación: fuerza bruta, bloqueos, recuperación de clave, sesiones que no caducan. Inyección en buscadores y filtros. Subida de archivos. IDs predecibles. Cabeceras y cookies sin flags. CSRF en acciones que cambian dinero o datos.
No invento exploits de cine. Uso lo que un atacante con tiempo y un navegador probaría el primer día. Si hay PHP y PDO bien usados, se nota. Si el SQL se concatena o el token va en la URL, también. El valor está en priorizar: crítico, importante, ruido. Arreglar tres agujeros de verdad vale más que un PDF lleno de «informativos».
Al entregar dejo reproducciones cortas y un orden de parche. Si el sitio es mío o lo mantengo, el arreglo entra en el mismo código. Si es un WordPress o un panel ajeno, dejo claro qué toca el hosting, qué un plugin y qué un desarrollo.
Si vas a abrir una tienda online, un área de clientes o un CMS a Internet, mejor mirarlo antes de que lo mire otro. Puedo auditar el perímetro web y ayudarte a cerrar lo que salga; el detalle está en la tienda.
