Qué es un pentest y cuándo lo necesitas

"Pentest" se usa para bastante más de lo que en realidad significa. A veces se confunde con un escaneo automático de vulnerabilidades, otras con una auditoría de cumplimiento, y otras simplemente con "que alguien revise si estamos bien". Vale la pena aclarar qué es de verdad, porque contratar lo que no necesitas — o quedarte corto con lo que sí — sale caro de las dos formas.

Qué es (y qué no es) un pentest

Un pentest, o prueba de penetración, es un intento controlado y autorizado de vulnerar tus sistemas, hecho por una persona con criterio experto que piensa como lo haría un atacante real — no una herramienta que corre sola y escupe una lista de vulnerabilidades sin verificar. La diferencia importa:

• Un escaneo automático (Nessus, OpenVAS, y similares) detecta vulnerabilidades conocidas comparando versiones de software contra una base de datos. Es rápido, barato, y genera falsos positivos todo el tiempo — no confirma si algo es explotable de verdad, ni cómo.
• Un pentest parte donde termina el escaneo: confirma cada hallazgo a mano, encadena vulnerabilidades menores para ver hasta dónde llegan juntas, y documenta el camino completo — desde el punto de entrada hasta el activo crítico.
• Una auditoría de cumplimiento (ISO 27001, PCI-DSS) evalúa si tienes los controles y procesos que exige un estándar. Puede incluir un pentest como parte del proceso, pero no es lo mismo — puedes cumplir el papeleo y seguir siendo vulnerable.

Los tipos de pentest más comunes

• Pentest de aplicaciones web: la aplicación y sus APIs, desde la perspectiva de un atacante externo — autenticación, control de acceso, inyección, lógica de negocio.
• Pentest de redes e infraestructura: qué tan lejos puede llegar alguien que logra un punto de apoyo en tu red interna o perimetral — movimiento lateral, escalación de privilegios, Active Directory.
• Blackbox, greybox, whitebox: cuánta información se le da al evaluador antes de empezar. Blackbox simula un atacante externo sin contexto previo; whitebox trabaja con acceso a código y documentación, y suele encontrar más en menos tiempo.

Las categorías de vulnerabilidades que más aparecen en un pentest de aplicaciones web son casi siempre las mismas — las repasamos en detalle, sin jerga, en nuestro post sobre el OWASP Top 10.

Cuándo tiene sentido contratar uno

No hay una regla única, pero estas son las señales más claras de que ya es momento:

• Vas a lanzar una aplicación nueva que maneja datos de usuarios o pagos.
• Nunca evaluaste la seguridad de algo que lleva tiempo en producción.
• Un cliente grande, un inversionista, o una obligación normativa te va a pedir evidencia de que evaluaste tu seguridad.
• Cambiaste algo estructural: migraste de proveedor, reescribiste el backend, abriste una API nueva a terceros.

Si todavía no estás en ninguno de esos escenarios pero igual te preocupa tu exposición, no hace falta esperar a tener presupuesto para un pentest completo — hay pasos concretos que puedes tomar antes, que ya cubrimos en otro post.