Pentesting en México: qué es, cuándo sirve y cómo contratar

Pentesting (prueba de penetración) es cuando un especialista, con tu autorización por escrito, intenta atacar tu app, sitio o red como lo haría un atacante real, para encontrar las fallas antes que ellos. En México, como en otros países, suele pedirse en contratos con clientes corporativos y en sistemas que manejan datos sensibles. Pero no siempre es el primer paso: para muchas apps pequeñas, sobre todo las hechas con IA, una revisión de configuración y permisos encuentra lo más grave con menos esfuerzo.

Pentest vs auditoría vs escaneo

Concepto	Escaneo automático	Auditoría de seguridad	Pentest
Qué hace	Una herramienta busca fallas conocidas	Revisa configuración, accesos, código y procesos	Intenta explotar fallas como un atacante
Quién	Software	Persona + herramientas	Especialista + herramientas
Profundidad	Superficial	Amplia	Profunda en el alcance definido
Encuentra fallas de lógica	Casi nunca	Sí	Sí
Para qué	Primer filtro	Saber cómo estás y qué corregir	Demostrar qué tan lejos llega un ataque

Más detalle en auditoría de seguridad web y auditoría de código fuente.

Tipos de pentest

• Caja negra: el especialista no tiene información, como un atacante externo. Realista, pero puede gastar tiempo en descubrir lo básico.
• Caja gris: tiene cuentas de prueba y algo de documentación. Es el más común para apps web.
• Caja blanca: tiene acceso al código y la arquitectura. Encuentra más, en menos tiempo.

Y según el objetivo: aplicación web, API, app móvil, red interna, nube (AWS, Google Cloud, Azure) o ingeniería social (correos de phishing simulados al personal).

Cuándo sí necesitas un pentest

• Un cliente corporativo o un contrato lo exige (es común en proveedores de bancos y empresas grandes).
• Manejas pagos, datos financieros, de salud u otra información sensible.
• Vas a lanzar algo grande o ya tienes muchos usuarios.
• Ya hiciste una auditoría, corregiste, y quieres comprobar que un atacante no pasa.
• Tuviste un incidente y necesitas saber qué tan expuesto quedaste.

Cuándo es mejor empezar por otra cosa

Si tu app la hiciste con Lovable, Bolt, Replit o Cursor y nunca la revisó nadie, probablemente tiene fallas básicas: tablas sin RLS, llaves en el frontend, permisos solo en la pantalla. Pagar un pentest para descubrir eso es caro para lo que encuentra. Mejor:

1. Corre la checklist de seguridad para apps hechas con IA.
2. Haz una revisión de configuración y permisos.
3. Corrige.
4. Después, si lo necesitas, el pentest.

Si usas Supabase, empieza por revisar que todas tus tablas tengan RLS.

La parte legal: autorización y alcance

Probar la seguridad de un sistema sin permiso del dueño puede constituir un delito en México. Un pentest legítimo siempre tiene:

• Autorización por escrito del dueño del sistema (y del proveedor, si sus términos lo piden; algunas nubes y plataformas tienen reglas sobre pruebas).
• Alcance definido: qué dominios, IPs, apps y cuentas; qué no se toca.
• Reglas de enfrentamiento: horarios, qué técnicas están prohibidas (por ejemplo, ataques que tumben el servicio), a quién avisar si algo se rompe.
• Confidencialidad sobre lo que encuentren.
• Manejo de datos: qué pasa si acceden a datos reales de clientes.

Si alguien te ofrece “probar” tu sitio sin pedirte nada de esto, no es profesional. Y nunca le pidas a nadie que pruebe el sitio de un competidor.

Cómo elegir a quién contratar en México

1. Pide ejemplos de informes (anonimizados) para ver si entiendes lo que entregan. Ve cómo es un buen informe de auditoría de seguridad informática.
2. Pregunta quién hace las pruebas y su experiencia en tu tipo de sistema (web, móvil, nube).
3. Certificaciones como OSCP, OSWE, eWPT o similares indican formación práctica; no son garantía, pero ayudan.
4. Que la propuesta tenga alcance claro, entregables y re-prueba.
5. Desconfía de precios que no dependen del alcance, garantías de “100% seguro” o reportes que son solo la salida de una herramienta.

Sobre precios: dependen del alcance, tipo de pentest y entregables. Explicamos de qué depende en cuánto cuesta una auditoría de seguridad informática.

Cómo prepararte para un pentest

• Ten un entorno de pruebas igual al real, con datos ficticios.
• Crea cuentas de prueba para cada rol.
• Haz respaldo de todo antes.
• Avisa a tu proveedor de hosting si sus términos lo piden.
• Designa a una persona de contacto disponible durante las pruebas.

En resumen

El pentesting es una prueba de ataque autorizada que demuestra qué tan lejos llegaría alguien en tu sistema; en México se pide sobre todo en contratos corporativos y sistemas con datos sensibles. Para una app pequeña hecha con IA, primero corrige lo básico con una revisión de configuración y permisos. Si no sabes qué tipo de revisión necesita tu app, en Black Engine lo revisamos contigo por WhatsApp.