Nadie revisa bien su propio trabajo
En Wolftech construimos sitios, tiendas y sistemas con la seguridad como parte del diseño: contraseñas cifradas, permisos por rol, validación de datos, copias de respaldo y dependencias al día. Pero hay algo que ningún equipo de desarrollo puede hacer bien con su propio código: atacarlo como lo haría alguien de afuera.
Para eso existen equipos que se dedican solo a eso, como AlcaNox, especialistas en pruebas de penetración (pentesting) y análisis forense digital, creadores de LeensFish. En este artículo te explicamos qué es un pentest, cuándo conviene y cómo encaja en un proyecto.
Qué es un pentest, en simple
Un pentest, o prueba de penetración, es un ataque controlado y autorizado por escrito contra tus sistemas. Un equipo usa las mismas técnicas que un ciberdelincuente para encontrar por dónde se podría entrar, qué datos quedarían expuestos y qué tan grave sería.
No es lo mismo que pasar un escáner automático. Un análisis de vulnerabilidades te entrega una lista de posibles problemas; un pentest comprueba cuáles se pueden aprovechar de verdad y qué impacto tendrían en tu negocio.
Análisis de vulnerabilidades
Revisa tu sistema y lista fallas conocidas. Sirve como chequeo frecuente, pero no confirma si alguien puede explotarlas.
Pentest
Intenta entrar de verdad, dentro de un alcance acordado, y entrega un informe con lo que se logró, el riesgo y cómo corregirlo.
¿Tu pyme necesita uno?
No todas las empresas necesitan un pentest todos los años. Pero sí conviene evaluarlo cuando:
- Tu sistema guarda datos de clientes (RUT, direcciones, historiales), algo que pesa más con la Ley 21.719 de protección de datos personales.
- Recibes pagos o manejas información financiera en tu web o portal.
- Vas a lanzar algo nuevo: un portal de clientes, una app o una API que conecta con otros sistemas.
- Un cliente grande te lo exige como requisito para trabajar contigo.
- Ya tuviste un incidente y necesitas saber qué pasó y si sigue abierto.
Qué revisa AlcaNox
Según su sitio, AlcaNox trabaja sobre distintos frentes:
- Aplicaciones web: inyección SQL, XSS, CSRF, SSRF e IDOR, entre otras fallas comunes.
- APIs: accesos indebidos a datos de otros usuarios y permisos mal configurados.
- Servidores, nube y redes internas y externas.
- Bases de datos SQL y NoSQL.
- Resiliencia ante DoS/DDoS: pruebas de carga controladas para saber cuántos usuarios aguanta tu infraestructura antes de caerse.
- Análisis forense digital: investigación de incidentes para reconstruir qué ocurrió.
Además desarrollaron LeensFish, un sello de ciberseguridad propio para identificar servidores, aplicaciones y plataformas que pasaron por su evaluación técnica.
Cómo es un primer pentest
Si nunca has contratado uno, el proceso es más ordenado de lo que parece. AlcaNox tiene una guía para tu primer pentest; en resumen:
1. Objetivo y alcance
Defines por qué necesitas la prueba y qué se va a revisar (y qué no). No necesitas tener un inventario técnico completo para empezar.
2. Reglas por escrito
Se firman el plan de trabajo (SOW), el alcance técnico y las reglas de operación (ROE). Sin autorización escrita no se prueba nada.
3. Prueba e informe
Se evalúa solo lo autorizado y recibes un informe técnico con cada hallazgo, su gravedad y cómo corregirlo.
Un buen informe no promete que tu sistema quedó libre de fallas para siempre. Te dice qué se encontró en ese momento y qué hacer al respecto. Por eso la seguridad se revisa cada cierto tiempo, no una sola vez.
Quién construye y quién prueba
Lo sano es separar los roles: un equipo construye y corrige; otro prueba. Así quien revisa la seguridad no tiene ningún interés en que el resultado salga bien.
- Antes de lanzar un sistema que maneja datos sensibles, define con el equipo de pentesting qué se va a probar.
- Cuando llega el informe, quien desarrolló el sistema corrige los hallazgos. Si tu sistema lo construimos nosotros, eso lo hacemos en Wolftech.
- Si ya tienes un sistema hecho por otro proveedor, igual puedes partir con un pentest para saber dónde estás parado.
Si te interesa AlcaNox, sus precios base están publicados en su página de precios y cambian según la complejidad y la cantidad de activos.
¿Por dónde partir?
Si quieres saber si tu web o tu sistema está bien construido antes de someterlo a una prueba, agenda el diagnóstico sin costo de 60 minutos con nosotros y revisamos lo que tienes.
Si ya sabes que necesitas un pentest o tuviste un incidente, puedes escribirle directo a AlcaNox desde su página de contacto.
Arquitecto de soluciones · Socio fundador de Wolftech
29 de octubre de 2026
5 min de lectura