Definición
Un pentest tiene un alcance y reglas acordados por escrito con el dueño del sistema. Sigue fases: reconocimiento, enumeración, explotación controlada, escalada de privilegios y un informe con hallazgos, riesgo e instrucciones para corregir. Puede ser de caja negra (sin información previa), gris o blanca (con acceso al código o la arquitectura).
Ejemplo
Una fintech contrata un pentest de su aplicación web: el equipo encuentra que un endpoint permite ver movimientos de otros clientes cambiando un número en la URL (IDOR), lo demuestra con cuentas de prueba y propone la corrección.
Cómo protegerse
- Hacer pentests periódicos y después de cambios grandes.
- Corregir y volver a probar (retest) los hallazgos críticos.
- Complementar con escaneos automáticos y revisión de código, que no reemplazan al pentest.
Para tener en cuenta
Sin autorización escrita, lo mismo que hace un pentester es un delito. Para practicar están los CTF y los laboratorios propios.
Redactado con el asistente Underc0de IA. Actualizado el 07/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.