Pentesters senior certificados en OSWE, OSCP, eCPPTv2 y CEH, con más de 8 años evaluando aplicaciones de PYMEs, SaaS, e-commerce, fintech regulada y banca digital.
El pentesting (también llamado ethical hacking o pruebas de penetración) simula ataques reales para encontrar vulnerabilidades antes de que las explote un atacante. Nuestro equipo está certificado en OSWE, OSCP, eCPPTv2 y CEH, y lleva más de 8 años trabajando con empresas de todos los tamaños, desde PYMEs y SaaS hasta fintech regulada y banca.
Pentesters con 8+ años evaluando apps de todo tipo, desde startups y comercios hasta banca digital y fintech regulada. Auditamos del binario al servidor, como lo haría un atacante con tiempo y motivación.
Nuestro equipo OSWE ha evaluado plataformas críticas a nivel global, y probamos la tuya como un desarrollador que ya sabe dónde romperla, porque la lógica de negocio es donde se pierde el dinero.
Auditamos APIs de cualquier sector, con foco especial en pagos, fintech y banca regulada. Cada endpoint, cada parámetro y cada flujo de autorización pasa por las manos de un pentester certificado, no de un escáner.
Aquí no hay escáneres disfrazados de auditoría: las pruebas son manuales, hablas directo con quien las ejecuta y el equipo lleva años trabajando en plataformas donde un fallo cuesta millones.
Probamos la lógica de negocio y encadenamos fallos como lo haría un atacante real, sin escáneres automatizados que solo generan ruido y falsos positivos.
Hablas con el Lead Offensive Security desde la primera llamada, y esa misma persona se encarga del scoping, la ejecución y el reporte. Nadie te va pasando entre equipos.
Más de 8 años en seguridad ofensiva y certificaciones OSWE, OSCP, eCPPTv2 y CEH. Cada proyecto tiene asignado un especialista certificado de principio a fin.
Auditamos desde PYMEs, e-commerce y SaaS hasta fintech regulada por CNBV y banca digital bajo PCI DSS. Tu plataforma recibe el mismo rigor que exige un banco, sin importar su tamaño.
Cada hallazgo llega documentado para tu equipo: resumen ejecutivo, detalle técnico, PoC reproducible, CVSS asignado y una remediación específica a tu stack.
El backend acepta tokens JWT con alg: none. Un atacante puede forjar tokens arbitrarios y autenticarse como cualquier usuario sin conocer el secreto de firma.
alg: none y tokens sin kid válido. Vista parcial. El reporte completo se entrega en español o en inglés, según prefieras
Los trabajamos bajo NDA, por eso van anonimizados, pero podemos verificarlos contigo si lo pides.
App de crédito al consumo y API móvil iOS/Android
Banca digital: onboarding KYC y 2FA
Plataforma multi-tenant B2B, módulo wholesale
Portal corporativo y app móvil de gestión interna
Plataforma de pólizas con APIs públicas y privadas
APIs de transferencias y pagos enterprise
Van anonimizados por el NDA, aunque podemos verificarlos en una llamada directa con nuestros clientes.
Encontraron una IDOR en nuestra API de transferencias que nuestro vendor anterior pasó por alto. La diferencia se notó desde el día 2: el reporte llegó con remediación específica al stack, no recomendaciones genéricas.
Pasamos auditoría CNBV en primera ronda con cero observaciones de seguridad. El reporte de Daxonix venía mapeado a los controles que el auditor iba a buscar. Nos ahorró semanas de remediación post-auditoría.
Habíamos contratado pentest "enterprise" antes con resultados decepcionantes: equipo no especializado, escáneres automatizados y vulnerabilidades genéricas. La diferencia con un OSWE senior dedicado se nota inmediatamente. No volvemos al modelo anterior.
Un lead técnico que da la cara y un equipo certificado que ejecuta con él.
Documentos que escribimos para los equipos de seguridad y desarrollo de nuestros clientes, descargables sin registro.
Submitir un monto negativo en el flujo de créditos no fallaba: hacía que el balance aumentara. Cómo una fórmula mal diseñada permitía inflar saldos arbitrariamente y por qué los escáneres jamás encontrarán esto.
El servidor confiaba en el header Origin para construir la URL del magic link enviado por email. Un atacante podía inyectar un dominio propio y recibir el token de autenticación cuando la víctima hacía click. Sin acceso al correo, sin phishing visible, sin malware.
Una app de crédito fintech validaba el OTP en la primera petición del flujo de compra. La segunda petición, la que efectivamente confirmaba la transacción, no requería ni el código ni un identificador de transacción. Cómo encontré que el OTP era cosmético.
Evaluación de seguridad ofensiva donde simulamos ataques reales para encontrar vulnerabilidades en tu plataforma antes que un atacante malicioso. Es 100% manual, lo ejecutan pentesters senior y cubre APIs, aplicaciones móviles y web de empresas de todos los tamaños, desde PYMEs y SaaS hasta fintech y banca digital.
Pentesters senior con 8+ años de experiencia y certificaciones OSWE, OSCP, eCPPTv2 y CEH. Cada proyecto tiene asignado al menos un especialista certificado OSWE u OSCP, dedicado durante todo el engagement.
Entre 1 y 2 semanas según alcance. El estándar cubre una app móvil (iOS y Android), una plataforma web con usuarios, o hasta dos sitios web. Algunos casos requieren más tiempo, pero esa es la medida típica, y las fechas se acuerdan en la propuesta y se cumplen.
Depende del dimensionamiento: número de aplicaciones, endpoints, roles de usuario y requisitos de cumplimiento. Como referencia, el proyecto típico va de $2,160 USD (una semana) a $4,320 USD (dos semanas); según el alcance puede variar, a veces un poco más, pero esa es la media. Si requieres factura mexicana (CFDI) se agrega el IVA correspondiente; para facturación al extranjero normalmente no aplica. Tras la llamada de discovery recibes una propuesta con precio fijo en menos de 24 horas, sin costos ocultos y con el re-test incluido.
Con empresas de todos los tamaños: PYMEs, startups, e-commerce y SaaS, además de fintech reguladas por CNBV, banca digital y plataformas de pagos PCI. La experiencia en entornos regulados nos da el estándar; ese mismo rigor lo recibe tu plataforma sin importar su tamaño.
No para hallazgos. El pentest es manual, ejecutado por especialistas senior. Los escáneres tienen valor limitado para evaluaciones profundas: generan entre 40 y 60% de falsos positivos y solo cubren vulnerabilidades catalogadas. Las fallas críticas en lógica de negocio rara vez aparecen en catálogos públicos.
Siempre. Se firma junto con el contrato antes del kickoff y cubre toda la información técnica y los hallazgos del proyecto.
Sí, está mapeado a los controles que estos marcos requieren y tu auditor lo va a reconocer.
Hacemos un walkthrough con tu equipo, te acompañamos durante la remediación y ejecutamos un re-test sin costo cuando estén listos. El reporte no es el final del proyecto.
Seis pasos que van del primer email al re-test cerrado, con fechas firmes y sin sorpresas.
Te decimos si tu plataforma necesita un pentest, qué alcance recomendamos y cuánto costaría.
