Hacking ético · Ciudad del Este, Paraguay
Lo pruebo antes de que alguien más lo intente, con tu autorización por escrito y sin interrumpir la operación.
Señales de alerta
Muchas empresas descubren el ataque meses después. Estas tres señales aparecen antes de que el daño sea visible.
Si tu panel registra accesos desde lugares donde no tenés clientes ni empleados, alguien ya tiene una contraseña que no debería tener.
Un dominio o una cuenta comprometida se usa para estafar a tus propios clientes con tu nombre.
Cada usuario que no se dio de baja es una puerta abierta, con permisos que nadie controla.
Si viste una, hablemos.
Escribime por WhatsAppSin costo · cupos limitados
Una revisión automatizada de lo que tu sitio muestra hacia internet. Sin tocar cuentas, sin formularios, sin riesgo para la operación.
Qué se verifica
Planes
Cada nivel incluye todo lo del anterior. Antes de cobrar te mando el checklist exacto de lo que se prueba y lo que no, y vos lo confirmás.
Primer diagnóstico de lo que tu sitio expone a internet. No garantiza que esté libre de fallas: es el punto de partida.
Pruebas manuales sobre accesos, formularios y la lógica de tu negocio. Lo que un atacante haría con tiempo y paciencia.
Auditoría Completa más API, servidor e inyección avanzada. Con retest incluido para verificar que cada falla quedó cerrada.
| Nivel | Chico · 1 a 3 módulos | Mediano · 4 a 7 | Grande · 8 o más |
|---|---|---|---|
| Chequeo de Seguridad | Gratis | Gratis | Gratis |
| Auditoría Completa | Gs. 2.500.000 | Gs. 4.000.000 | Gs. 6.500.000 en adelante |
| Blindaje Total | Gs. 5.500.000 | Gs. 8.500.000 | Cotización personalizada |
La auditoría cubre exclusivamente los puntos marcados como incluidos en el checklist que confirmás antes de pagar. La ausencia de hallazgos no garantiza seguridad absoluta: certifica que los vectores listados fueron evaluados y no presentaron vulnerabilidad explotable al momento de la prueba.
Cómo trabajo
Un proceso corto y con papeles claros. Nunca se prueba nada que no esté escrito y aceptado.
Qué recibís
Cada falla explicada en términos de plata, clientes y reputación, sin jerga. Con prioridad de corrección.
Peticiones y respuestas reales, pasos exactos para reproducir y la remediación concreta. Nada de "mejorar la seguridad" en genérico.
Ningún resultado automático se entrega sin que lo revise. Los falsos positivos se descartan antes, no los descubrís vos.
Al intentar registrarse con un correo existente, el sistema responde "ese email ya está registrado". Un atacante puede confirmar uno por uno qué clientes tuyos tienen cuenta.
POST /auth/create HTTP/1.1 email=cliente@ejemplo.com HTTP/1.1 422 "The email has already been taken."
HF Security
Especialista en hacking ético con base en Ciudad del Este, Paraguay. Encuentro la falla, la documento y verifico que quede cerrada.
Trabajo solo y con pocos clientes a la vez: quien te escribe, te audita y te explica el informe es la misma persona.
Preguntas frecuentes
No. Se trabaja con cuentas de prueba, bajo volumen de peticiones y en horario de bajo tráfico. Nada de denegación de servicio ni pruebas destructivas. Si tu sitio cobra en línea, el checkout se prueba solo con un protocolo acordado por escrito: sandbox, pedidos de prueba y cómo se borran después.
El diagnóstico es automatizado y mira solo lo que tu sitio expone a internet: certificado, headers, puertos, archivos olvidados, versiones. La auditoría es manual: login, sesiones, acceso a datos ajenos, inyección de código y la lógica de tu negocio. Es lo que un atacante haría con tiempo.
Para el diagnóstico y la Auditoría Completa, no: alcanza con el dominio y una cuenta de prueba como la de cualquier cliente. Para Blindaje Total se revisa la configuración del servidor, y ahí sí se acuerda un acceso limitado.
Por tamaño del sitio, contando módulos: cada módulo público suma 1 y cada módulo del panel administrativo suma 1,5. Con eso el sitio queda en chico, mediano o grande. Antes de cobrar te mando el checklist exacto del plan y confirmás por escrito. Todo se cotiza en guaraníes.
Recibís igual el informe con todo lo que se probó y el resultado de cada vector. Sirve como certificación de que esos puntos fueron evaluados y no presentaron vulnerabilidad explotable en esa fecha.
Sí. Los niveles son acumulativos: si dentro de los 30 días de entregado un plan querés subir, se te acredita el 100% de lo pagado y solo abonás la diferencia.
AranduCode, la empresa de desarrollo de software de la que HF Security es la unidad de seguridad. Recibís factura legal por cada servicio.
El diagnóstico gratuito, entre medio día y un día y medio. La Auditoría Completa, de 3 a 10 días según el tamaño. Blindaje Total, de 6 a 10 días o más, porque incluye infraestructura y el retest final.
Contacto
Contame qué sitio querés revisar y te respondo por WhatsApp con los siguientes pasos.