Un proceso documentado, no una caja negra.
Cada proyecto sigue el mismo recorrido, y cada paso queda documentado — qué estaba en el alcance, qué se ejecutó, quién lo aprobó y si la corrección resistió.
Cuatro pasos, en orden.
- 01
Alcance y firma
Acordamos el perímetro y las Reglas de Compromiso por escrito antes de tocar nada — objetivos, ventanas, técnicas permitidas, contactos de emergencia por ambas partes.
La propiedad se demuestra, no se afirma: un registro DNS-TXT que colocas tú, o una autorización firmada archivada.
- 02
Prueba y evaluación
Trabajamos dentro de ese límite y en ningún otro sitio. Las pasadas automáticas encuentran lo conocido; nuestros ingenieros van a por los fallos de lógica, autorización y encadenamiento que ningún escáner alcanza.
Evaluación, no explotación — nos detenemos en la prueba, nunca en el daño.
- 03
Informe, dos veces
Un informe técnico con puntuaciones CVSS, evidencias y pasos de reproducción para tus ingenieros, y un resumen ejecutivo claro para quien firma el presupuesto.
Ambas mitades están en cada informe — incluido lo que se probó y resistió.
- 04
Retest y debrief
Una vez que remedias, probamos de nuevo el mismo hallazgo y registramos si la corrección resistió. Luego una llamada en directo con tu equipo técnico para repasarlo.
Un hallazgo se cierra cuando lo dice un retest, no cuando se marca un ticket como hecho.
Por qué es seguro dejarnos entrar.
Nada se ejecuta sin un sí humano
Cada comando activo lo aprueba un operador antes de salir, incluso en un objetivo cuya propiedad ya hemos verificado por DNS.
Los resultados se revisan antes de que los veas
Los hallazgos se retienen en una puerta de revisión. Un miembro del equipo los libera, así que nunca recibes un resultado automático sin revisar.
Tomamos los mínimos datos que lo demuestran
Una vulnerabilidad se demuestra con la muestra más pequeña posible, enmascarada. No extraemos bases de datos para demostrar algo.
Todo queda registrado
Alcance, autorización, cada comando propuesto y aprobado, cada artefacto creado y eliminado. El rastro de auditoría es el producto, no un subproducto.
Mira lo que sale de ello.
Cada proyecto termina en el mismo informe. Esto es lo que contiene.