10 preguntas antes de contratar un pentest (y las respuestas que descalifican al proveedor)
Las propuestas de pentest parecen iguales en papel y van de 5.000 a 60.000 €. Estas diez preguntas separan la prueba manual del escáner con logo, y evitan que pagues por un informe que el auditor rechazará.
Por qué las propuestas de pentest son difíciles de comparar
Tres propuestas, tres precios, todas prometen un "test de intrusión completo alineado con OWASP". La diferencia entre 5.000 y 60.000 € casi nunca está en el PDF: está en quién ejecuta, cuánto tiempo dedica y qué entrega al terminar. Estas diez preguntas exponen esa diferencia antes de firmar.
1. ¿Quién ejecutará la prueba, con nombre?
Pide nombres, certificaciones (OSCP, OSWE, OSEP, CRTO, BSCP) e historial público (CVEs, bug bounty, charlas). Descalifica: "nuestro equipo certificado" sin nombres, o que el comercial no sepa responder. Un pentest es un servicio de personas, no de marca.
2. ¿Cuántas horas o días de prueba manual hay en el alcance?
Una aplicación web media necesita de 5 a 15 días de un especialista. Descalifica: "2 días" para una aplicación con 40 pantallas y API: eso es un escáner con una revisión rápida.
3. ¿Qué metodología y cómo aparece en el informe?
OWASP WSTG, ASVS, PTES, NIST SP 800-115, OWASP LLM Top 10 para IA. Descalifica: citar la metodología solo en la propuesta; el informe debe mostrar las fases cubiertas y lo que no se probó.
4. ¿Black, grey o white-box, y por qué?
Para la mayoría de aplicaciones, grey-box (con credenciales de usuario normal y de administrador) encuentra más en menos tiempo. El black-box puro suele pedirlo quien quiere "simular a un atacante" pero acaba pagando por un recon que podría saltarse. Descalifica: que el proveedor no pregunte qué quieres demostrar.
5. ¿Qué pasa si encuentran algo crítico a mitad de la prueba?
Respuesta correcta: alerta en menos de 24 horas, con PoC, sin esperar al informe final. Descalifica: "todo va en el informe al final".
6. ¿Puedo ver un informe de ejemplo (anonimizado)?
Busca: resumen ejecutivo legible por dirección, hallazgos con evidencia reproducible (request/response, pasos), CVSS y riesgo de negocio, recomendación con referencias. Descalifica: negarse a mostrarlo, o que el ejemplo sea salida de herramienta formateada.
7. ¿El retest está incluido? ¿En qué plazo?
Estándar de mercado: retest incluido, en 60 a 90 días, con certificado final. Descalifica: cobrar el retest como servicio aparte sin avisar; ahí aparece el coste real.
8. ¿Cómo tratan IA, APIs y móvil en el mismo alcance?
Si la aplicación tiene chatbot, agente o API pública, el pentest "web" no lo cubre. Pregunta si prueban prompt injection, abuso de tools, BOLA en APIs, y si está en el precio. Descalifica: "ejecutamos las mismas herramientas".
9. ¿Qué garantías de confidencialidad y cómo tratan los datos?
NDA antes del alcance, evidencias almacenadas cifradas y borradas tras un plazo definido, acceso restringido al equipo del proyecto. Descalifica: no tener proceso.
10. ¿El informe sirve para PCI DSS, ISO 27001 o ENS?
Si vas a usar el pentest en una auditoría, el informe necesita la estructura que espera el auditor (metodología, alcance, segmentación cuando aplique, retest documentado). Descalifica: que el proveedor no sepa qué pide el requisito 11.4 de PCI.
Extra: qué llevar a la conversación
Lista de URLs/APIs, diagrama simplificado, tecnologías, si hay IA, la fecha de la auditoría o del cliente que pide la prueba, y qué pasó en el último pentest. Cuanto más claro el alcance, más precisa la propuesta y menos sorpresas.
Cómo responde Pentest Machine a estas preguntas
Nombres y certificaciones en la propuesta, días de prueba manual explícitos, metodología nombrada en el informe, alertas críticas en 24h, informe de ejemplo bajo NDA, retest incluido en 90 días, cobertura de IA/LLM y API en el mismo proyecto y estructura lista para auditoría. Envía el alcance y recibe la propuesta en un día hábil.