# Qué testear en un pentest web y de APIs: checklist 2026 Source: https://slash-digital.io/insights/pentest-colombia/ Ciberseguridad · Actualizado en octubre 2026 En Colombia se detectan cerca de 1,3 millones de intentos de ataque al día. Un scanner es el mínimo; la validación manual es lo que convierte un PDF en decisiones. - 1,3 M intentos al día (CRC y FortiGuard) - 471,5 M intentos al año - COP $0 sin hallazgos altos Iniciar un proyecto Todos los análisis Esteban Zuleta, Cofundador, negocio y finanzas, Slash Digital Lab Publicado: 23 de septiembre de 2026 Actualizado: 14 de octubre de 2026 Lectura: 3 min Tema: Ciberseguridad En resumen Toda plataforma deja algo sin ver, y un pentest sirve para encontrar lo que se le escapa a la tuya. Este artículo define qué testear de verdad (web, APIs, validación manual y retest) y cómo la oferta de lanzamiento de Slash alinea el precio con el resultado. Para tu empresa ¿Tu aplicación o tu API resistiría estos ataques? Slash Digital Lab hace pentest manual de aplicaciones web y APIs en Colombia. Pentest Colombia → ## 1,3 millones de intentos al día Colombia, 2025: 471,5 millones de intentos de ataque detectados. En Colombia se detectan cerca de 1,3 millones de intentos de ataque al día, 471,5 millones en el año (fuente: CRC y FortiGuard Labs). Un intento no es un ataque exitoso, pero cada vulnerabilidad explotable es una puerta que alguien puede encontrar antes que tú. El contexto regional confirma la presión: según Check Point Research, en el primer semestre de 2025 las organizaciones de América Latina recibieron en promedio 2.716 ataques por semana, un 39 % más que el promedio mundial, y Colombia estuvo entre los cinco países más atacados de la región. Kaspersky, por su parte, señala a América Latina como la región más afectada por ransomware en 2025. ## Qué testear de verdad Aplicaciones web y APIs, en ese orden. El test honesto cubre tu superficie real: las aplicaciones web en producción y las APIs que las sostienen. Hoy las APIs son donde se abren las puertas más caras: autenticación, autorización, validación de entradas y exposición de datos. Ese es el alcance de nuestro pentesting de aplicaciones web y APIs. Cada hallazgo se valida a mano y debe ser reproducible; la severidad se califica con CVSS y contexto de negocio. Lo que no se puede reproducir no se reporta. - Aplicaciones web: autenticación, sesiones y lógica de negocio. - APIs: autorización, IDOR, exposición masiva de datos y errores de configuración. - Configuración: cabeceras, TLS, secretos y superficie expuesta. - Validación manual de cada hallazgo relevante, no solo el scanner. ## Un precio alineado con el resultado COP $0 si no hay hallazgos altos o críticos confirmados. Nuestra oferta de lanzamiento alinea el precio con el resultado: COP $0 si no encontramos vulnerabilidades altas o críticas confirmadas dentro del alcance; COP $5 M por un hallazgo alto; tope de COP $9 M aunque encontremos más. La evaluación se completa siempre, con informe ejecutivo y técnico, y un retest incluido en las evaluaciones pagas. ## Y el factor humano Phishing e ingeniería social controlados, desde COP $5 M. La técnica expone; el humano abre. Ofrecemos pruebas controladas de phishing e ingeniería social desde COP $5 millones, con informe y formación para tu equipo. Con la clonación de voz y los deepfakes, esta capa pesa cada vez más: lo explicamos en nuestro protocolo contra el fraude por deepfake. ### Lo esencial - Testea la web y las APIs en producción, no la demo. - Valida cada hallazgo a mano; el scanner es el mínimo. - La severidad se califica con CVSS y contexto de negocio. - El retest verifica la corrección y está incluido en las evaluaciones pagas. - Sin hallazgos altos, la evaluación no tiene costo (COP $0). ## Fuentes - Latin America 2025 mid-year cyber snapshot · Check Point Research, 2025-07-10 - América Latina, la región más afectada por el ransomware · Kaspersky, 2026-05-12 - Internet Crime Report 2025 · FBI IC3, 2026-04 - OWASP API Security Top 10 (2023) · OWASP, 2023 - Web Security Testing Guide · OWASP - CVSS v4.0 Specification · FIRST, 2023-11-01 Nota editorial: este análisis refleja la información pública disponible en la fecha de revisión. Modelos, precios y normas cambian rápido; cada dato de terceros enlaza a su fuente y nuestras opiniones se presentan como tales. ¿Ves un error? Escríbenos a contact@slash-digital.io. Preguntas frecuentes ## Las preguntas que escuchamos a menudo **¿Es verdad que cuesta COP $0 si no hay hallazgos?** Sí: sin vulnerabilidades altas o críticas confirmadas dentro del alcance, la evaluación no tiene costo y te quedas con el informe. **¿De dónde sale la estadística?** De CRC y FortiGuard Labs (análisis prospectivo de ciberseguridad 2026). Un intento no equivale a un ataque exitoso. **¿Testean móviles o solo web?** La oferta cubre aplicaciones web y APIs; otros alcances se cotizan aparte. **¿Quién corrige los hallazgos?** Quien tú decidas: tu equipo, otro proveedor o Slash. El retest sigue siendo válido. **¿Firman un acuerdo de confidencialidad?** Sí: el alcance y la confidencialidad se firman antes de empezar.