Ciberseguridad para tu sitio, tu código y tus servidores

El reto

Una aplicación puede funcionar bien para sus usuarios y aun así dejar que alguien lea datos ajenos cambiando un número en la dirección, inyecte código en un formulario o entre a un panel sin la sesión correcta. Esas fallas no se ven en el uso normal: aparecen cuando alguien las busca.

Cómo lo hacemos

• Mapa de la superficie: Inventario de páginas, formularios, endpoints de la API y roles de usuario que entran en el alcance.
• Inyección y XSS: Pruebas sobre cada entrada de datos para detectar inyección SQL o de comandos y scripts que se ejecutan en el navegador de otros usuarios.
• Control de acceso y autenticación: Verificamos que cada usuario solo vea y cambie lo suyo, y revisamos sesiones, recuperación de contraseña y límites de intentos.
• Datos expuestos: Buscamos respuestas de la API que entregan más de lo necesario, errores que revelan detalles internos y archivos publicados por error.
• Cabeceras y CSP: Revisamos HTTPS, HSTS, cookies y Content Security Policy, y proponemos una configuración que no rompa el sitio.

Qué obtienes

Un informe con cada hallazgo ordenado por riesgo, la evidencia para reproducirlo y la corrección recomendada, y una nueva prueba de cada punto una vez corregido.

El reto

Muchas filtraciones no empiezan en el servidor sino en el repositorio: una clave escrita en el código, un archivo de configuración subido por error o una librería con una vulnerabilidad publicada que nadie actualizó. Cada dependencia es código de terceros que se ejecuta con los mismos permisos que el tuyo.

Cómo lo hacemos

• Secretos en el historial: Buscamos claves, tokens y contraseñas en el código y en el historial de Git, no solo en la versión actual.
• Dependencias con CVE: Cruzamos las librerías del proyecto con las vulnerabilidades publicadas y priorizamos las que de verdad se usan.
• Cadena de suministro: Revisamos lockfiles, versiones fijadas, scripts de instalación y paquetes poco mantenidos, y recomendamos pnpm con instalación congelada.
• Revisión estática: Análisis del código en busca de patrones peligrosos: consultas armadas a mano, validaciones ausentes y permisos de más.
• Deuda que genera riesgo: Señalamos versiones del framework sin soporte y atajos que hoy funcionan pero mañana abren una puerta.

Qué obtienes

Un informe con los secretos que hay que rotar, las dependencias que hay que actualizar o reemplazar y los cambios de código recomendados, con cada corrección revisable en el repositorio.

El reto

Un servidor recién creado llega con valores por defecto pensados para que funcione, no para que resista. Puertos abiertos, acceso SSH con contraseña y servicios corriendo como root son lo primero que prueban los robots que recorren internet todo el tiempo.

Cómo lo hacemos

• Firewall y puertos: Solo quedan abiertos los puertos que el servicio necesita; el resto se cierra o se limita a direcciones conocidas.
• SSH: Acceso solo con llaves, sin inicio de sesión de root ni por contraseña, y bloqueo automático de intentos de fuerza bruta.
• Docker y Nginx: Contenedores sin privilegios, imágenes fijadas y un Nginx con cabeceras de seguridad, límites de peticiones y solo lo necesario expuesto.
• TLS: Certificados con renovación automática, protocolos y cifrados actuales, y todo el tráfico redirigido a HTTPS.
• Copias y monitoreo: Copias de seguridad guardadas fuera del servidor, una restauración probada y alertas cuando el servicio cae o algo cambia.

Qué obtienes

Un servidor con la configuración documentada, los accesos a tu nombre y una lista de verificación para repetir el blindaje en cada servidor nuevo.

El reto

Un WordPress comprometido no siempre se nota: puede redirigir solo a quien llega desde un buscador, crear administradores ocultos o esconder una puerta trasera que reinstala el malware después de cada limpieza. Si es una tienda WooCommerce, además están en juego los datos de tus clientes.

Cómo lo hacemos

• Copia y contención: Antes de tocar nada guardamos una copia del estado actual y cortamos el acceso del atacante.
• Escaneo y limpieza: Comparamos el núcleo, los plugins y los temas con sus versiones oficiales y eliminamos puertas traseras, archivos inyectados y código malicioso en la base de datos.
• Plugins y temas: Retiramos los comprometidos, abandonados o descargados de fuentes no oficiales, y actualizamos el resto.
• Usuarios y credenciales: Eliminamos cuentas que nadie reconoce y rotamos contraseñas, claves de la base de datos y llaves secretas de WordPress.
• Recuperación y blindaje: Solicitamos la revisión del sitio si quedó marcado como peligroso y endurecemos permisos, inicio de sesión y actualizaciones para reducir el riesgo de que vuelva a pasar.

Qué obtienes

Un sitio limpio y en línea, un informe de lo que se encontró y de cómo entró el atacante cuando es posible determinarlo, y la opción de seguir con un plan de mantenimiento mensual.