Qué testear en un pentest web y de APIs
En Colombia se detectan cerca de 1,3 millones de intentos de ataque al día. Un scanner es el mínimo; la validación manual es lo que convierte un PDF en decisiones.
Toda plataforma deja algo sin ver, y un pentest sirve para encontrar lo que se le escapa a la tuya. Este artículo define qué testear de verdad (web, APIs, validación manual y retest) y cómo la oferta de lanzamiento de Slash alinea el precio con el resultado.
1,3 millones de intentos al día
Colombia, 2025: 471,5 millones de intentos de ataque detectados.
En Colombia se detectan cerca de 1,3 millones de intentos de ataque al día, 471,5 millones en el año (fuente: CRC y FortiGuard Labs). Un intento no es un ataque exitoso, pero cada vulnerabilidad explotable es una puerta que alguien puede encontrar antes que tú.
El contexto regional confirma la presión: según Check Point Research, en el primer semestre de 2025 las organizaciones de América Latina recibieron en promedio 2.716 ataques por semana, un 39 % más que el promedio mundial, y Colombia estuvo entre los cinco países más atacados de la región. Kaspersky, por su parte, señala a América Latina como la región más afectada por ransomware en 2025.
Qué testear de verdad
Aplicaciones web y APIs, en ese orden.
El test honesto cubre tu superficie real: las aplicaciones web en producción y las APIs que las sostienen. Hoy las APIs son donde se abren las puertas más caras: autenticación, autorización, validación de entradas y exposición de datos. Ese es el alcance de nuestro pentesting de aplicaciones web y APIs.
Cada hallazgo se valida a mano y debe ser reproducible; la severidad se califica con CVSS y contexto de negocio. Lo que no se puede reproducir no se reporta.
- Aplicaciones web: autenticación, sesiones y lógica de negocio.
- APIs: autorización, IDOR, exposición masiva de datos y errores de configuración.
- Configuración: cabeceras, TLS, secretos y superficie expuesta.
- Validación manual de cada hallazgo relevante, no solo el scanner.
Un precio alineado con el resultado
COP $0 si no hay hallazgos altos o críticos confirmados.
Nuestra oferta de lanzamiento alinea el precio con el resultado: COP $0 si no encontramos vulnerabilidades altas o críticas confirmadas dentro del alcance; COP $5 M por un hallazgo alto; tope de COP $9 M aunque encontremos más. La evaluación se completa siempre, con informe ejecutivo y técnico, y un retest incluido en las evaluaciones pagas.
Y el factor humano
Phishing e ingeniería social controlados, desde COP $5 M.
La técnica expone; el humano abre. Ofrecemos pruebas controladas de phishing e ingeniería social desde COP $5 millones, con informe y formación para tu equipo. Con la clonación de voz y los deepfakes, esta capa pesa cada vez más: lo explicamos en nuestro protocolo contra el fraude por deepfake.
Lo esencial
- Testea la web y las APIs en producción, no la demo.
- Valida cada hallazgo a mano; el scanner es el mínimo.
- La severidad se califica con CVSS y contexto de negocio.
- El retest verifica la corrección y está incluido en las evaluaciones pagas.
- Sin hallazgos altos, la evaluación no tiene costo (COP $0).
Fuentes
Nota editorial: este análisis refleja la información pública disponible en la fecha de revisión. Modelos, precios y normas cambian rápido; cada dato de terceros enlaza a su fuente y nuestras opiniones se presentan como tales. ¿Ves un error? Escríbenos a contact@slash-digital.io.
Las preguntas que escuchamos a menudo
¿Es verdad que cuesta COP $0 si no hay hallazgos?
Sí: sin vulnerabilidades altas o críticas confirmadas dentro del alcance, la evaluación no tiene costo y te quedas con el informe.
¿De dónde sale la estadística?
De CRC y FortiGuard Labs (análisis prospectivo de ciberseguridad 2026). Un intento no equivale a un ataque exitoso.
¿Testean móviles o solo web?
La oferta cubre aplicaciones web y APIs; otros alcances se cotizan aparte.
¿Quién corrige los hallazgos?
Quien tú decidas: tu equipo, otro proveedor o Slash. El retest sigue siendo válido.
¿Firman un acuerdo de confidencialidad?
Sí: el alcance y la confidencialidad se firman antes de empezar.
Más análisis para seguir
Prompt injection y seguridad de agentes: el riesgo número uno
Por qué la inyección de prompts sigue sin resolverse, qué muestran los incidentes de 2025–2026 y qué controles funcionan de verdad en agentes y chatbots.
CiberseguridadFraude con deepfakes: protocolo para empresas
Del caso Arup a las cifras del FBI: cómo opera el fraude con voz clonada y deepfakes, y un protocolo de verificación para finanzas, talento humano y asistentes.
CiberseguridadGuardrails que funcionan en producción
Las siete capas de un sistema de guardrails, los modelos guardianes de 2026 comparados, cómo medirlos en español y francés y dos arquitecturas de referencia.
Pongámoslo en producción
Cuéntanos tu reto. Respondemos en menos de 24 horas laborales con una primera lectura honesta: si podemos ayudarte, te diremos cómo; si no, te diremos quién puede.
Contesto personalmente. Sin formularios eternos ni respuestas automáticas.