RAID · Pentest E-commerce
Probamos tu tienda, tu app de Shopify o tu plugin de WooCommerce como lo haría un atacante real.
El riesgo
Fallos de autorización que dejan ver o modificar pedidos de otros clientes.
Lógica de negocio que permite pagar menos o acumular descuentos.
Sesiones y recuperación de contraseña que un atacante puede abusar.
Un fallo en tu app se replica en todas las tiendas que la instalan.
Paquetes
Cada paquete incluye todo lo del anterior.
Precios orientativos sin IVA. El precio final se confirma tras la llamada de alcance.
Precio: Desde 1.500 €
sin IVA
No incluye: login, roles, lógica de precios, APIs ni explotación.
Precio: Desde 5.000 €
sin IVA
No incluye: APIs en profundidad, webhooks, infraestructura ni código.
1.500 € de descuento si vienes desde RECON en 30 días (3.500 € netos).
Precio: Desde 9.000 €
sin IVA
No incluye: infraestructura, código fuente ni post-explotación.
Precio: Desde 15.000 €
sin IVA
Metodología
01
Alcance y reglas de intervención por escrito.
02
Tecnologías, dominios y activos en alcance.
03
Qué activos importan y quién los atacaría.
04
Fallos detectados y ordenados por riesgo.
05
Prueba controlada de que el fallo es real.
06
Impacto demostrado, sin persistencia ni datos reales.
07
Resumen ejecutivo, detalle técnico y plan de corrección.
Después del informe
Incluido en OPERATION y TAKEDOWN. En A medida, según alcance.
Ejemplo de informe
Un informe real de nuestro laboratorio: metodología, hallazgos con CVSS, evidencia reproducible y plan de corrección. Mismo formato que recibirías en tu proyecto.
20 páginas · PDF — Informe de un entorno de laboratorio, con fines demostrativos. No contiene datos de clientes.
Desarrolladores
Auditamos tu app de Shopify o tu plugin de WordPress antes de que llegue a tus clientes.
Solo en tu tienda de desarrollo o laboratorio. Nunca en tiendas de clientes ni con credenciales de producción.
Cumplimiento
Respalda la seguridad del tratamiento (art. 32). Datos minimizados y nunca extraídos.
Pruebas periódicas y documentadas dentro de la gestión de riesgos.
Evidencia de pentesting para el Requisito 11.
Hallazgos vinculados a los controles del Anexo A.
Siempre con autorización escrita. El informe no garantiza el cumplimiento por sí solo.
FAQ
No. Firmamos reglas de intervención antes de empezar, no usamos denegación de servicio y no extraemos datos reales. En producción, las pruebas se programan según tu tráfico.
No. Solo cuentas y secretos de prueba o de sandbox.
No. Las apps y plugins se prueban solo en tu tienda de desarrollo o en tu laboratorio.
De 2 a 10 días según el paquete. Los hallazgos críticos se avisan el mismo día.
Paramos, avisamos a tu contacto con evidencia y una mitigación provisional, y acordamos cómo seguir.
Sí. El informe sirve como evidencia para RGPD (art. 32), NIS2 y PCI-DSS (Req. 11). No garantiza el cumplimiento por sí solo.
Contacto
Déjanos tu empresa y tu email y nos ponemos en contacto contigo.