secrets01
Secretos expuestos
Claves de API y tokens de servicio en el front-end, en el repositorio o en los logs. Basta con abrir DevTools.
Seguridad de aplicaciones · DevSecOps · DevOps
Tu código se escribió rápido.
Ahora necesita ser seguro.
Auditoría de seguridad, pentest y DevSecOps para empresas que construyen software con IA, y para las que todavía no. Encuentro las fallas antes que un atacante, entrego la corrección y dejo el pipeline impidiendo que vuelvan.
- NDA antes de cualquier acceso
- Informe ejecutivo y técnico
- Retest incluido
Metodología alineada con
- OWASP Top 10
- OWASP ASVS
- OWASP API Security
- OWASP Top 10 for LLM
- CVSS
- CWE
- CIS Benchmarks
- LGPD
El problema
La IA acelera la entrega. Las vulnerabilidades la acompañan.
Cursor, Copilot, Lovable y Bolt generan código que funciona en la demo. Pero funcionar no significa ser seguro, y los mismos patrones de falla se repiten de un proyecto a otro.
authz02
Control de acceso roto
RLS desactivado, rutas que confían en el ID enviado por el cliente y permisos verificados solo en la interfaz.
supply-chain03
Dependencias inseguras
Paquetes sugeridos que no existen y pueden ser registrados por atacantes, versiones con CVEs conocidas, lockfile ignorado.
llm04
Aplicaciones con LLM
Prompt injection, fuga de datos a través del contexto y agentes con más permisos de los necesarios.
misconfig05
Configuración por defecto en producción
Modo debug activo, CORS abierto, buckets públicos y cabeceras de seguridad ausentes.
ops06
Sin visibilidad operativa
Deploy manual, logs dispersos, backups nunca probados y ninguna alerta cuando algo falla.
Servicios
De la revisión de código a la infraestructura en producción
Seguridad y operación tratadas en conjunto, con hallazgos que tu equipo puede corregir, y no un informe genérico de escáner.
Principal
AppSec · IA
Auditoría de seguridad de aplicaciones desarrolladas con IA
Revisión de código y pruebas sobre la aplicación en ejecución, enfocadas en las fallas que las herramientas de IA suelen introducir. Recomendada antes de lanzar, de buscar inversión o de abrir la aplicación a clientes.
- Revisión manual de código, con SAST, SCA y escaneo de secretos
- Autenticación, autorización, RLS y aislamiento entre clientes
- Configuración de BaaS (Supabase, Firebase) y de la nube
- Hallazgos con prueba de concepto y corrección recomendada
- Informe ejecutivo para la dirección y técnico para el equipo
- Retest después de las correcciones
Pentest
Pentest de aplicaciones web y APIs
Prueba de penetración manual guiada por OWASP Top 10, API Security y ASVS, en aplicaciones construidas con o sin IA. Black, grey o white box, según el alcance.
- Aplicaciones web, SPAs y APIs REST y GraphQL
- Lógica de negocio, IDOR, SSRF e inyecciones
- Severidad por CVSS y evidencias reproducibles
LLM
Seguridad de aplicaciones con LLM y agentes
Evaluación de chatbots, pipelines RAG y agentes con base en el OWASP Top 10 for LLM Applications: qué puede ver, decir y ejecutar el modelo.
- Prompt injection directa e indirecta
- Fuga de datos y del system prompt
- Permisos de herramientas y acciones del agente
DevSecOps
Seguridad en el pipeline de CI/CD
Controles automatizados para que la próxima vulnerabilidad se detenga en el pull request, y no se descubra en producción.
- SAST, SCA, secret scanning y SBOM en el pipeline
- Protección de ramas y revisión obligatoria
- Gestión de secretos fuera del repositorio
DevOps
Infraestructura, despliegue y operación
Infraestructura reproducible, despliegue automatizado y visibilidad sobre lo que ocurre en producción.
- Contenedores, Docker Swarm y orquestación
- CI/CD e infraestructura como código
- Hardening, backups, monitoreo y alertas
Para quién
Empresas que ponen software en producción
Startups y SaaS
MVP construido con IA que va a clientes de pago, due diligence o ronda de inversión.
Software factories y agencias
Validación independiente de seguridad antes de entregar al cliente final.
Equipos internos
Herramientas internas creadas con IA, muchas veces por personas que no son desarrolladoras.
Empresas reguladas
Quienes tratan datos personales y necesitan demostrar diligencia técnica.
Metodología
Alcance definido, prueba autorizada, corrección verificada
Un proceso predecible, desde el primer contacto hasta el retest.
- 01
Alcance y autorización
Conversación técnica, NDA y documento de autorización con objetivos, ventanas de prueba y límites.
- 02
Evaluación
Revisión de código y pruebas sobre la aplicación y la infraestructura, dentro del alcance acordado.
- 03
Informe
Hallazgos priorizados por riesgo, con evidencia, impacto y recomendación. Presentación al equipo.
- 04
Corrección y retest
Apoyo en la corrección, retest de los hallazgos y controles en el CI para evitar regresiones.
Qué recibes
- Informe ejecutivo con el nivel de riesgo en lenguaje de negocio
- Informe técnico con evidencias, impacto y pasos de reproducción
- Recomendación de corrección para cada hallazgo
- Presentación de los resultados al equipo técnico
- Retest con el estado final de cada hallazgo
- Reglas de CI para evitar regresiones, cuando corresponda
Quién lo conduce
Trato directo con quien ejecuta el trabajo
Leno Seibert
Fundador · Seguridad de aplicaciones y DevOps
Más de nueve años en tecnología, trabajando con infraestructura, automatización, desarrollo y seguridad de sistemas en producción. En MKTSYS, cada proyecto lo conduce de principio a fin la misma persona, desde el alcance hasta el retest.
- años en tecnología
- 9+
- certificaciones técnicas
- 15+
- proyectos entregados
- 150+
Hallazgos validados manualmente
Nada de listas de falsos positivos: cada hallazgo se confirma y se acompaña de evidencia.
Corrección, no solo diagnóstico
Recomendaciones específicas para tu stack y apoyo en la implementación cuando haga falta.
Seguridad y operación juntas
Quien prueba también entiende de despliegue, infraestructura y CI/CD, y corrige en el origen.
Confidencialidad primero
NDA, accesos temporales y eliminación de los datos del proyecto al finalizar el trabajo.
Contratación
Tres formas de trabajar juntos
Alcance e inversión definidos antes de empezar. Sin sorpresas en el camino.
Evaluación rápida
Una visión objetiva del riesgo antes de decidir el siguiente paso.
- Revisión enfocada en los puntos más críticos
- Escaneo automatizado con análisis manual
- Informe breve con prioridades
- Precio fijo
Recomendado
Auditoría y pentest completos
Alcance cerrado, de la prueba al retest.
- Revisión de código y pentest de la aplicación
- Informe ejecutivo y técnico
- Presentación de los hallazgos al equipo
- Retest incluido
Seguridad y DevOps continuos
Horas mensuales para quienes entregan software cada semana.
- Revisión de seguridad de nuevas funcionalidades
- Mantenimiento del pipeline y de la infraestructura
- Monitoreo y respuesta a alertas
- Paquetes mensuales de horas
Todo trabajo empieza con una conversación técnica sin costo y solo se ejecuta con autorización formal por escrito.
Preguntas frecuentes
Antes de empezar
¿Hacen pruebas sin autorización?
No. Toda prueba se realiza solo con autorización formal del responsable del sistema, con objetivos, ventanas horarias y límites definidos por escrito.
¿Las pruebas pueden afectar la producción?
Siempre que es posible, las pruebas se hacen en un entorno de staging. En producción, ocurren en ventanas acordadas, sin ataques de denegación de servicio y con un punto de contacto para interrupción inmediata.
¿Mi código y mis datos están protegidos?
El NDA se firma antes de cualquier acceso. Los accesos son temporales, se prefieren datos de prueba y el material del proyecto se elimina al final, según lo acordado.
Mi aplicación no se hizo con IA. ¿Igual tiene sentido?
Sí. La metodología sirve para cualquier aplicación; el foco en código generado por IA solo añade verificaciones específicas para los errores que estas herramientas repiten.
¿Corrigen o solo señalan los problemas?
Ambas cosas. El informe incluye la corrección recomendada para cada hallazgo y, si tiene sentido, la implementación y el retest pueden entrar en el alcance.
¿Cuánto tarda y cuánto cuesta?
Depende del tamaño y la complejidad de la aplicación. Una evaluación rápida suele llevar pocos días; las auditorías y pentests completos se dimensionan en el alcance, con plazo e inversión definidos en la propuesta.
Contacto
Cuéntame qué necesitas evaluar
Te respondo con los próximos pasos y, si tiene sentido, agendamos una conversación técnica sin costo.
Contacto directo