¿Qué es un pentest? Cómo funciona y tipos (caja negra, gris y blanca)
Guía completa del pentest: definición, fases, tipos según la información previa (caja negra, gris y blanca) y según el objetivo, qué debe incluir un buen informe y cada cuánto hacerlo.
Definición: un pentest (prueba de penetración o test de intrusión) es una simulación de ataque autorizada, realizada por especialistas, para encontrar y explotar vulnerabilidades en sistemas, aplicaciones, APIs o modelos de IA, y demostrar el impacto real en el negocio antes de que lo haga un atacante. La diferencia con un análisis de vulnerabilidades es la explotación y el encadenamiento: el pentest demuestra lo que se puede hacer, no solo lo que parece estar mal.
Esta guía responde a las preguntas básicas —qué es, cómo funciona, qué tipos hay— y a las que importan al decidir: qué tipo elegir, qué esperar del informe y cuándo es obligatorio.
Para qué sirve un pentest
- Reducir riesgo real. Encontrar el camino que lleva a un usuario normal hasta los datos de otros clientes, privilegios de administrador o movimientos financieros indebidos.
- Cumplir normativa. PCI DSS exige pentest anual y tras cambios significativos; ISO 27001, SOC 2, ENS, NIS2 y DORA tratan las pruebas de seguridad como evidencia de control. Consulta pentest para ISO 27001, SOC 2, RGPD y ENS y pentest en NIS2 y DORA.
- Vender. Los clientes enterprise piden un informe de pentest reciente en sus cuestionarios de seguridad. Sin él, el contrato se atasca en compras.
Cómo funciona, paso a paso
- Alcance y reglas de enfrentamiento. Qué se puede probar, en qué entorno, en qué ventana, con qué cuentas y qué está prohibido (por ejemplo, denegación de servicio). Todo por escrito y autorizado.
- Reconocimiento. Mapa de la superficie: subdominios, endpoints, tecnologías, documentación expuesta, funcionalidades por rol.
- Análisis y descubrimiento. Herramientas y análisis manual en paralelo: lo que la herramienta señala, el especialista lo confirma; lo que no ve (autorización, lógica de negocio), el especialista lo busca.
- Explotación y encadenamiento. Convertir la vulnerabilidad en impacto demostrable con la mínima intrusión.
- Informe. Resumen ejecutivo, hallazgos con severidad, evidencia reproducible, impacto en el negocio y recomendación de corrección.
- Retest. Validar que las correcciones funcionan.
Tipos de pentest según la información previa
Caja negra (black box)
El especialista empieza sin información, como un atacante externo. Útil para evaluar lo expuesto en internet y probar la detección. Limitación: gran parte del presupuesto se va en descubrir lo que tu equipo podría contar en minutos.
Caja gris (grey box)
El especialista recibe credenciales por rol, documentación (OpenAPI, arquitectura) y contexto de negocio. Simula un usuario legítimo malintencionado o un atacante que ya robó una cuenta, el escenario más común en incidentes reales. Es la mejor relación coste-beneficio para aplicaciones web, APIs y sistemas de IA.
Caja blanca (white box)
Acceso al código fuente, configuraciones y arquitectura completa. Permite el análisis más profundo. Útil para componentes críticos (autenticación, pagos), due diligence técnica y productos maduros.
| Caja negra | Caja gris | Caja blanca | |
|---|---|---|---|
| Información previa | ninguna | cuentas + documentación | código + arquitectura |
| Realismo de atacante externo | alto | medio | bajo |
| Cobertura por día de prueba | baja | alta | muy alta |
| Indicado para | perímetro, detección | web, API, IA (estándar) | componentes críticos |
Tipos de pentest según el objetivo
- Aplicación web: autenticación, sesión, autorización, inyecciones, lógica de negocio, SSRF. Referencias: OWASP Top 10 y OWASP WSTG.
- API: REST, GraphQL y gRPC, con el OWASP API Security Top 10; el hallazgo crítico más común es el BOLA/IDOR. Guía completa en pentest de APIs.
- IA y LLM: chatbots, RAG y agentes, según el OWASP Top 10 para LLM.
- Móvil: la app y, sobre todo, la API que consume.
- Infraestructura y cloud: red externa e interna, Active Directory, AWS/Azure/GCP.
- Red team / TLPT: simulación de adversario orientada a objetivos, que prueba también la detección y la respuesta.
Pentest, escáner y bug bounty
El escáner automático encuentra lo conocido y superficial; el bug bounty paga hallazgos a una multitud sin garantizar cobertura; el pentest garantiza metodología, profundidad y un informe con alcance definido. Lo detallamos en pentest vs. escáner vs. bug bounty.
Qué debe incluir un buen informe
- Resumen ejecutivo en lenguaje de negocio.
- Hallazgos con severidad justificada (CVSS ajustado al contexto).
- Pasos de reproducción y evidencias que el equipo de desarrollo pueda seguir.
- Cadenas de ataque, no solo elementos aislados.
- Recomendaciones específicas para tu stack.
- Alcance, periodo, metodología y limitaciones, que es lo que buscará el auditor.
Con qué frecuencia
Al menos una vez al año y tras cambios relevantes. Los productos con despliegue continuo se benefician de ciclos más pequeños y recurrentes. Sobre presupuesto, consulta cuánto cuesta un pentest.
Preguntas frecuentes
¿Es legal hacer un pentest?
Sí, cuando lo autoriza por escrito el responsable de los sistemas y con un alcance definido. Sin autorización, la misma actividad es delito (en España, art. 197 bis del Código Penal).
¿Un pentest puede tumbar el sistema?
Uno bien hecho, no. Las pruebas de denegación de servicio quedan fuera del alcance por defecto, las cargas se controlan y las acciones destructivas se acuerdan antes.
¿Cuánto dura un pentest?
Una aplicación web o API mediana lleva normalmente de 5 a 15 días de prueba, más 2 a 5 días de informe.
¿Qué diferencia hay entre pentest y análisis de vulnerabilidades?
El análisis de vulnerabilidades enumera fallos potenciales, normalmente de forma automática. El pentest confirma, explota y encadena esos fallos para mostrar el impacto real, y encuentra clases que las herramientas no detectan, como fallos de autorización y de lógica de negocio.