Presupuestos de seguridad web: compare el alcance antes del precio

¿Un sitio incluye el portal de clientes?

Imagine una web corporativa, un portal de clientes y una API en hosts distintos. Un presupuesto que solo nombra la web no aclara si incluye los otros. Es un ejemplo de compra, no un caso de cliente. Envíe las URL reales y pida por escrito el objetivo incluido.

Pregunte si se usarán cuentas. Revisar páginas públicas y comparar dos roles de cliente requiere accesos y trabajos distintos. La etiqueta ‘seguridad web’ no lo aclara. Un control público no determina si un cliente puede ver pedidos ajenos.

Un hallazgo que sirva al desarrollador

Antes de pagar, pida un informe de muestra sin datos sensibles. Busque ubicación afectada, condiciones observadas, pruebas con valores ocultos, impacto posible y corrección propuesta. Una captura sin condiciones puede ser difícil de reproducir. Una lista larga de alertas puede dejar al desarrollador la tarea de descartar falsos positivos.

La muestra debe indicar lo no revisado. Pregunte cómo se marca la incertidumbre y quién revisa las pruebas. Ni páginas ni número de fallos sustituyen esas respuestas. Sin vulnerabilidades encontradas, el informe debe documentar alcance y limitaciones; no certifica la seguridad de todo el sistema.

Qué cubre el control Mingxi de US$120

El paquete revisa un objetivo público acordado, web o API, sin iniciar sesión. Subdominios, otras aplicaciones y activos adicionales no se incluyen automáticamente. Comprende exposición pública acordada, configuración básica y riesgos comunes verificables. Un ingeniero revisa pruebas, gravedad y recomendaciones. Quedan excluidos código fuente, funciones autenticadas, varios roles y pruebas de lógica de negocio.

El PDF se envía por correo en el idioma acordado. Los dos días laborables empiezan tras confirmar propiedad, autorización, alcance, materiales necesarios y pago. La repetición de pruebas no se incluye por defecto; su alcance y precio se acuerdan aparte. Lea el alcance vigente antes de contratar.

Guarde el acuerdo junto al informe

Conserve objetivo aceptado, exclusiones, entrega, condiciones de inicio y destinatario. Añada las reglas de cancelación y calendario realmente acordadas. No convierta condiciones ausentes en compromisos supuestos.

Tras corregir, guarde la versión desplegada y el hallazgo correspondiente. Pregunte qué pruebas aportará una revisión contratada aparte. Un nuevo escaneo limpio de la portada no demuestra la reparación de otro endpoint afectado.

Lista práctica

• Envíe las URL y confirme las exclusiones.
• Confirme si se utilizarán cuentas.
• Lea una muestra y las condiciones de inicio.
• Anote las condiciones de revisión y cancelación antes de pagar.

Pregunta frecuente

¿Un control barato es necesariamente una mala compra?

No. Un trabajo pequeño y delimitado puede servir a una web pública sencilla. Compare si responde a su duda de riesgo. No sustituye evaluaciones que requieren cuentas, código fuente o pruebas de lógica de negocio.