Vorpcel / Servicios / Aseguramiento
Revisamos desde adentro las aplicaciones y APIs que usted desarrolla: el diseño, el código y la forma en que se construyen y publican. Los hallazgos vienen con la línea de código, el riesgo y la corrección, escritos para los desarrolladores que la harán.
En resumen
Los escáneres automáticos encuentran parte de los problemas, y un firewall delante de la aplicación bloquea parte de los ataques. Las fallas de lógica de negocio y de autorización, como que un cliente pueda leer los datos de otro, se encuentran leyendo el diseño y el código.
Con acceso al código, una revisión encuentra más en menos tiempo que una prueba desde afuera, y cada hallazgo señala el lugar exacto a cambiar.
Verificaciones que faltan y permiten que un usuario lea o cambie registros de otro cliente cambiando un identificador.
Endpoints que verifican quién es usted pero no lo que tiene permitido hacer.
Contraseñas, claves y tokens guardados en el repositorio o enviados al navegador.
Datos de afuera que llegan a una consulta a la base de datos, un comando o una plantilla sin un manejo seguro.
Cargas y descargas que permiten a alguien guardar o leer archivos que no debería.
Componentes de terceros con vulnerabilidades conocidas y corrección disponible.
Con sus arquitectos y desarrolladores, dibujamos cómo fluyen los datos por el sistema y preguntamos, en cada paso, qué puede salir mal y qué lo impide.
Miramos las decisiones que cuestan caro cambiar después: cómo se autentican usuarios y servicios, cómo se separan los clientes, cómo se guardan los secretos y cómo se cifran los datos.
Combinamos análisis automático con lectura manual de las partes que más importan: autenticación, autorización, pagos, manejo de archivos y todo lo que recibe datos de afuera.
Revisamos cómo llega el código a producción, porque un pipeline comprometido puede publicar cualquier cosa.
Una revisión se dimensiona por el tamaño del código y la cantidad de funcionalidades. Damos un precio cerrado después de una conversación corta y de una mirada al repositorio.
Acordamos las aplicaciones, los repositorios y las funcionalidades que más importan, y firmamos un acuerdo de confidencialidad.
Modelamos las amenazas, leemos el diseño y el código y confirmamos cada hallazgo antes de reportarlo.
Presentamos los hallazgos a sus desarrolladores, con la ubicación en el código, el riesgo y la corrección recomendada.
Después de que su equipo corrige los hallazgos, verificamos cada corrección y actualizamos el informe.
Los repositorios del alcance, con acceso que usted otorga y quita.
Diagramas o una explicación de cómo se construye y se publica el sistema.
Un entorno fuera de producción y cuentas de prueba con distintos roles.
Alguien que pueda responder preguntas sobre el código durante la revisión.
Elija según cuánto de la aplicación quiere revisar y con qué frecuencia.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Revisión focalizada | Una funcionalidad nueva o un área sensible, como pagos o inicio de sesión | Modelado de amenazas y revisión de código de esa área, informe y nueva prueba |
| Revisión completa | Una aplicación antes de un lanzamiento, una auditoría o un cliente grande | Modelado de amenazas, revisión de arquitectura y de código de toda la aplicación, informe y nueva prueba |
| Programa de desarrollo seguro | Equipos que publican seguido y quieren mantener el código seguro | Revisión de los cambios importantes, verificaciones de seguridad en el pipeline y capacitación para desarrolladores |
Bajo un acuerdo de confidencialidad, con acceso de solo lectura que usted otorga y quita. El código se revisa en su repositorio o en un entorno aislado y no se conserva después del trabajo.
Los lenguajes y frameworks web y de back-end más comunes, como Python, Go, Java, JavaScript y TypeScript, PHP y C#. Indíquenos su stack durante el alcance y lo confirmamos.
Este servicio revisa el diseño y el código. Indíquenos durante el alcance si también necesita probar la aplicación en funcionamiento, y conversamos con usted sobre la mejor opción.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.