Solo pagas por lo que de verdad aparece
Acordamos el alcance, firmamos un acuerdo con la tabla de precios por severidad y una cuota mínima que cubre el trabajo base, y me pongo a auditar. Si tus sistemas están bien, pagas solo esa cuota mínima. Si encuentro problemas, pagas por cada vulnerabilidad única y confirmada según las tarifas acordadas — con un tope máximo para que conozcas tu coste en el peor caso. Cada hallazgo llega con los mismos entregables que un pentest tradicional: pasos de reproducción, evidencias y guía de remediación.
Alcance y tarifas
Definimos objetivos y límites juntos, y firmamos la autorización con la tabla de precios y la cuota mínima. No se prueba nada sin la firma.
Pruebas con método
Audito siguiendo OWASP, PTES y NIST, y valido cada hallazgo a mano. Nada de volcados de escáner sin filtrar.
Pagas por hallazgo
Solo cuentan vulnerabilidades únicas y confirmadas. Coste final = cuota mínima + hallazgos, siempre por debajo del tope acordado.
Por qué pago por hallazgo
Riesgo acotado
Sin grandes inversiones iniciales. Si tus sistemas son seguros, pagas solo la cuota mínima y te llevas la tranquilidad de haberlo comprobado con un profesional.
Incentivos alineados
Cobro cuando aporto valor real. Mi motivación es encontrar cada vulnerabilidad que importa, no rellenar un informe.
Ideal si es tu primer pentest
Si nunca has contratado uno y no sabes qué esperar, pruebas seguridad profesional sin comprometerte de entrada a un precio cerrado alto.
Transparente
Sabes el precio de cada severidad y tu tope máximo antes de empezar. Sin sorpresas ni costes ocultos.
Cada hallazgo, tarifado por su impacto
La severidad se evalúa con el estándar de la industria CVSS v3.1. Las tarifas exactas de cada tramo se acuerdan antes de empezar el proyecto.
Las mismas reglas que un pentest tradicional
- Definimos los sistemas objetivo y los límites juntos, antes de empezar.
- Se firma un acuerdo de alcance, tabla de precios y autorización por escrito antes de cualquier prueba. Auditar sin permiso es delito (art. 197 bis del Código Penal); por eso nunca se salta este paso.
- Las pruebas siguen metodologías OWASP, PTES y NIST — sin atajos.
- Solo se cobran vulnerabilidades únicas y confirmadas. Los hallazgos duplicados o informativos no se cobran.
- Recibes los mismos entregables que un pentest tradicional: resumen ejecutivo, informe técnico con CVSS y evidencias, y re-test al corregir.
Lo que suelen preguntarme
¿Y si encontráis muchas vulnerabilidades?
El tope máximo que acordamos antes de empezar te protege. Aunque aparezcan muchos problemas, tu coste total no lo supera. Piénsalo como el precio de un pentest tradicional, al que solo llegas si de verdad hay hallazgos que lo justifiquen.
¿Por qué hay una cuota mínima si es "pago por hallazgo"?
Porque una auditoría seria lleva horas de preparación, pruebas y análisis aunque el resultado final sea "tus sistemas están bien". La cuota mínima cubre ese trabajo; el resto de la factura sí depende de lo que encuentre. Es lo que hace el modelo justo para los dos: tú no asumes un precio cerrado alto, y yo no acabo trabajando gratis si tu sistema resultó ser seguro.
¿La metodología es distinta a un pentest normal?
No. Aplico exactamente la misma metodología, herramientas y rigor. La única diferencia es el modelo de precios — la calidad del testing es idéntica.
¿Qué tipos de sistemas se pueden probar?
Aplicaciones web, APIs, infraestructura y entornos cloud. El alcance específico lo acordamos en la conversación inicial.
¿Quién decide la severidad de un hallazgo?
La severidad se evalúa con CVSS v3.1, un estándar de la industria. Te doy el vector, las evidencias y los pasos de reproducción para que puedas verificar cada evaluación. Si hay desacuerdo, lo discutimos de forma transparente sobre esa evidencia.
¿Probamos tus sistemas sin riesgo?
Definimos un alcance y una tabla de precios. Si no encuentro nada, pagas solo la cuota mínima. Déjame tu email o tu teléfono y te contacto.
Te respondo en menos de 24 h.
Al enviar aceptas el tratamiento de tus datos según la política de privacidad.