Servicio
Corregimos los hallazgos, y vuelves a escanear para comprobar que lo hicimos
Un análisis te dice qué está mal. Eso solo sirve si alguien cambia el código después, y los hallazgos que más importan — un endpoint sin comprobar quién pide el registro, un webhook que confía en lo que le llega — son los menos seguros de adivinar. Hacemos los cambios, explicamos cada uno y te devolvemos algo que puedes verificar tú, no tomar por fe.
Una persona lo lee y responde, normalmente en dos días laborables.
Qué cuesta
A quién encaja
Tres situaciones para las que sirve
Tienes un análisis con hallazgos que no quieres adivinar
El control de acceso y los pagos son las dos categorías donde una corrección que parece razonable puede dejar el agujero abierto. Si no estás seguro de que tu cambio lo cerró, esa duda es la razón para encargarlo.
Sabes qué hacer y no tienes tiempo de hacerlo
Doce hallazgos medios en cuatro servicios son una semana que ibas a dedicar al producto. El trabajo no es difícil; es trabajo.
Alguien espera una respuesta sobre seguridad
El cuestionario de un cliente, la due diligence de un inversor, un cliente que pregunta antes de ir a producción. Corregimos lo que se puede corregir y dejamos por escrito lo que quedó fuera.
Cómo va
El encargo, paso a paso
Nos envías el análisis
Partir de un hallazgo en la app adjunta el proyecto, el análisis y el hallazgo automáticamente. Partir de esta página también vale: preguntaremos de qué proyecto se trata.
Mirarlo no se factura.
Lo leemos y tasamos un alcance
Normalmente en dos días laborables. El presupuesto nombra los hallazgos que corregiremos, los que no y por qué, y un precio fijo para el conjunto. Si un hallazgo resulta necesitar un cambio en cómo funciona tu producto y no en el código, lo decimos en este punto y no después de facturar.
El precio es por el conjunto de hallazgos, no por el tiempo invertido.
Trabajamos contra una rama
El acceso de solo lectura basta para el análisis, así que la remediación necesita escritura en una rama — concedida para el encargo y revocada al final. Nunca empujamos a tu rama por defecto y nunca fusionamos nuestro propio trabajo.
Vuelves a escanear y fusionas
Lanza un análisis contra la rama antes de fusionarla. Si un hallazgo que dijimos haber corregido sigue apareciendo, nos toca resolverlo a nosotros, no discutirlo a ti.
Una corrección que nadie verificó es una corrección en la que nadie debería confiar — incluida la nuestra.
Con qué te quedas
- Una pull request por hallazgo, o una rama agrupada por área — tú eliges, y preguntamos antes de empezar
- Una nota en lenguaje claro en cada cambio: qué estaba mal, qué hicimos y qué vigilar
- Un nuevo análisis del mismo proyecto para que veas qué hallazgos desaparecieron
- Una lista escrita de lo que recomendamos no corregir, y por qué
Límites
Qué no incluye esto
- No reescribimos tu aplicación. Si un hallazgo solo se corrige cambiando la arquitectura, te lo decimos y paramos, en lugar de empezar una reconstrucción dentro de una remediación.
- No nos hacemos responsables de hallazgos que no presupuestamos, incluidos los que un análisis posterior encuentra en código que no tocamos.
- No fusionamos nuestro propio trabajo ni lo desplegamos. Esas dos cosas las conservas tú.
- Corregir todos los hallazgos no hace que tu aplicación sea segura, y no escribiremos una carta que lo diga.
Preguntas
Sobre remediación de seguridad
¿Necesitáis acceso de escritura al repositorio?
Sí, solo para este servicio, y solo a una rama. El análisis es de solo lectura; cambiar código no lo es. El acceso se concede para el encargo y lo revocas al final — te lo recordaremos.
¿Y si no podéis corregir algo?
Lo decimos antes de presupuestar, y se queda fuera del presupuesto. Lo habitual es que el hallazgo sea una decisión de producto y no un error de código: quién debería ver un registro es una pregunta sobre tu negocio, y solo estaríamos adivinando.
¿Podéis corregir hallazgos de un escáner que no es el vuestro?
Suele ser posible. Envíanos el informe. Puede que queramos lanzar el nuestro al lado, porque necesitamos la evidencia en la que se basa un hallazgo y no solo el título, y no todas las herramientas la incluyen.
Enviar una consulta
Pedir ayuda para corregir esto
Enviar esto no te compromete a nada y no inicia ninguna facturación. Recibirás una confirmación con una referencia al momento, y después una respuesta de una persona.