Web y APIs
Aplicaciones web y APIs REST o GraphQL: autenticación, control de acceso, lógica de negocio e inyecciones. Es donde más a menudo aparece el impacto real.
Auditoría de ciberseguridad
Auditoría de ciberseguridad hecha por personas, no por un escáner
Somos un equipo de investigadores con experiencia en programas de bug bounty (YesWeHack, Intigriti y HackerOne). Atacamos tu web, tus APIs, tus apps y tus agentes de IA como lo haría un atacante real, y te entregamos un informe claro y accionable: qué ocurre, cómo se reproduce y cómo se corrige.
Presupuesto cerrado según alcance · desde 5.000 € + IVA
- Pruebas manuales, no automáticas
- Alcance y autorización por escrito
- Sin pruebas destructivas ni DoS
- Retest incluido
Alcance
Qué auditamos
Cuatro frentes, cada uno con su estándar de referencia. Definimos contigo cuáles entran en el alcance.
Apps móviles Android e iOS
La app y el backend con el que habla: almacenamiento local, comunicaciones, autenticación y protección de datos en el dispositivo.
Revisión de código
Lectura del código fuente para encontrar lo que desde fuera no se ve: secretos expuestos, validaciones ausentes, errores de autorización y dependencias problemáticas.
Nuestro diferencial
Seguridad de IA y agentes LLM
Somos una empresa de IA: construimos agentes y automatizaciones, y sabemos dónde se rompen. Probamos inyección de prompts (directa e indirecta), fuga de datos y agentes con acceso a herramientas capaces de ejecutar acciones reales.
Método
Cómo trabajamos
Sin autorización firmada no se toca nada. Sin prueba reproducible no se reporta nada.
-
Alcance y autorización por escrito
Acordamos qué sistemas entran, las reglas de prueba, las ventanas horarias y los contactos de ambas partes. Sin autorización por escrito del titular del sistema, no empezamos.
- Sistemas
- qué entra y qué queda fuera
- Reglas
- qué se puede y qué no se puede probar
- Ventanas
- cuándo se realizan las pruebas
- Contactos
- quién avisa y a quién
-
Reconocimiento
Mapeamos la superficie expuesta: dominios, endpoints, tecnologías, roles y flujos de usuario.
-
Pruebas manuales apoyadas en herramientas
Las herramientas aceleran el trabajo; el criterio es humano. Sin pruebas destructivas ni de denegación de servicio (DoS).
-
Cada hallazgo, validado
Sin prueba reproducible, no hay hallazgo.
Si no podemos demostrarlo paso a paso, no entra en el informe. Menos ruido y más decisiones útiles.
-
Informe y retest incluido
Entregamos el informe, lo presentamos en una reunión y, cuando corrijas, verificamos las correcciones.
Entregables
Qué recibes
Parte 1
Resumen ejecutivo
Para dirección y para quien decide: estado general de la seguridad, qué hay que corregir primero y por qué, sin jerga.
Parte 2
Parte técnica
Para tu equipo de desarrollo: todo lo necesario para reproducir, entender y corregir cada hallazgo.
En cada hallazgo
- Prueba de concepto reproducible
- Los pasos exactos para que tu equipo lo vea con sus propios ojos.
- Puntuación CVSS
- Severidad medida con un estándar común, no con adjetivos.
- Impacto real, sin exagerar
- Qué podría hacer un atacante en tu contexto concreto. Ni alarmismo ni minimizar.
- Recomendación concreta
- Qué cambiar y cómo, adaptado a tu tecnología.
Además
- Reunión de presentación del informe.
- Carta de retest, cuando verificamos las correcciones.
Utilidad
Para qué te sirve
Una auditoría independiente genera evidencia documentada. Es útil en tres situaciones habituales.
RGPD, artículo 32
El artículo 32 exige medidas técnicas adecuadas y un proceso regular de verificación y evaluación de su eficacia. El informe y la carta de retest documentan esa verificación.
NIS2
Si tu sector o tus clientes te piden cumplir NIS2, el informe aporta evidencia técnica sobre cómo gestionas el riesgo en los sistemas auditados.
Cuestionarios de seguridad
Los clientes grandes preguntan si haces auditorías de seguridad. Con el informe tienes una respuesta documentada y verificable.
Equipo
Quién hace la auditoría
Las auditorías las hace el equipo de Gravitas AI: investigadores de seguridad con experiencia en programas de bug bounty. Esa práctica —encontrar fallos reales y explicarlos para que se puedan reproducir y corregir— es la que aplicamos a tu proyecto.
Plataformas de bug bounty en las que tiene experiencia el equipo
- YesWeHack
- Intigriti
- HackerOne
Son plataformas independientes: su mención indica dónde tiene experiencia el equipo y no supone ningún aval de ellas a Gravitas AI. No publicamos nombres de programas ni hallazgos concretos, porque los programas privados exigen confidencialidad.
Compromisos
Ética y confidencialidad
-
Solo con autorización
Únicamente auditamos sistemas con la autorización por escrito de su titular.
-
NDA
Firmamos un acuerdo de confidencialidad antes de empezar.
-
Datos mínimos
Accedemos solo a lo imprescindible y borramos los datos al cerrar el proyecto.
-
IA como apoyo, con verificación humana
Usamos IA como apoyo. Cada hallazgo lo valida una persona antes de entrar en el informe, y el contrato detalla qué herramientas tratan los datos.
Preguntas frecuentes
Lo que nos preguntan antes de empezar una auditoría
No hacemos pruebas destructivas ni de denegación de servicio, y trabajamos dentro de las reglas y ventanas que fijamos por escrito. Aun así, cualquier prueba sobre un sistema en producción tiene un riesgo residual: si dispones de un entorno de pruebas equivalente, lo recomendamos; si no, acordamos ventanas horarias y un contacto de emergencia.
Depende del alcance: número de aplicaciones, endpoints, roles de usuario y profundidad. Tras definir el alcance contigo, el presupuesto incluye un plazo concreto.
La autorización por escrito del titular de los sistemas, la definición del alcance, cuentas de prueba para cada rol, la documentación de la API si existe, un entorno de pruebas si lo tienes y una persona técnica de contacto durante la auditoría. Si tus sistemas están en un proveedor de nube o hosting, puede hacer falta además su autorización.
Un escáner detecta patrones conocidos y suele generar falsos positivos, pero no entiende tu lógica de negocio: no sabe si un usuario puede ver los datos de otro o saltarse un paso de pago. Nosotros probamos de forma manual, usamos herramientas como apoyo, validamos cada hallazgo con una prueba reproducible y valoramos su impacto en tu contexto.
Sí, está incluido. Cuando corrijas los hallazgos del informe, verificamos las correcciones y emitimos una carta de retest que puedes enseñar a tus clientes.
Trabajamos con presupuesto cerrado según alcance, desde 5.000 € + IVA. Fijamos el precio después de definir el alcance contigo y no cambia durante el proyecto salvo que tú lo amplíes.
Hablemos del alcance de tu auditoría
Cuéntanos qué quieres proteger y te respondemos con una propuesta de alcance y un presupuesto cerrado.
Solicitar presupuestoTambién puedes escribirnos a contacto@gravitasai.es
Para empezar nos basta con saber
- Qué sistemas quieres que probemos: web, API, app, código o agente de IA.
- Para qué la necesitas: un cliente, el RGPD, un lanzamiento o tu propia tranquilidad.
- Qué plazos manejas.
¿Has encontrado una vulnerabilidad en nuestra web? Consulta nuestra política de divulgación responsable.