Lo que sueles preguntarte antes de contratar.

Sí, siempre que esté autorizado por escrito. Antes de cualquier prueba firmamos un acuerdo de autorización que define exactamente qué sistemas se pueden probar y en qué ventana de tiempo. Sin esa autorización no se ejecuta nada.

El objetivo es no impactar al servicio. Acordamos contigo la ventana de pruebas y el nivel de intrusión. Las pruebas que podrían afectar a la disponibilidad se hacen solo con tu permiso explícito o en un entorno de staging si lo prefieres.

Firmamos NDA antes de empezar. Toda la información, hallazgos y evidencias se tratan como confidenciales, se entregan de forma segura y se eliminan tras la entrega si así lo solicitas.

Recibes igualmente el informe documentando todo lo que se probó y por qué tu aplicación resistió. Un informe limpio respaldado por una metodología seria también tiene valor: es prueba auditable de tu nivel de seguridad.

Son tres cosas distintas y te lo decimos sin letra pequeña. El informe gratuito es una revisión pasiva de configuración (certificado, cabeceras, CSP, SRI, librerías): no busca vulnerabilidades explotables. El escaneo de vulnerabilidades usa un escáner profesional para detectar fallos comunes, y revisamos cada hallazgo a mano para eliminar falsos positivos, pero no explotamos nada. El pentest completo es trabajo manual de explotación real: lógica de negocio, control de acceso y cadenas de ataque que ningún escáner detecta. Cada nivel responde a una pregunta distinta: ¿cómo me ven?, ¿qué fallos evidentes tengo?, ¿qué podría hacer un atacante de verdad?

Es gratis y no hay truco oculto: es una revisión pasiva que tenemos muy automatizada, así que nos cuesta poco producirla. La hacemos porque es la mejor forma de enseñarte cómo trabajamos antes de que nos pagues nada. Si después quieres un escaneo de vulnerabilidades o un pentest, perfecto; si no, te quedas con el informe igualmente.