Pentesting y Auditoría de Seguridad para SaaS y Startups
Un SaaS en fase temprana toma en semanas decisiones de seguridad que arrastra años: cómo se autentica, cómo aísla a cada cliente y dónde viven los secretos. Revisamos esas decisiones antes del lanzamiento y antes de una ronda, cuando corregirlas todavía es barato.
Por qué este sector necesita una auditoría distinta
En un producto SaaS, un fallo de seguridad no afecta a un usuario: afecta a todos los clientes a la vez. El modelo multi-tenant y el control de acceso por objeto son las dos decisiones que más se descuidan porque el producto todavía cambia cada semana, y son justo las que después cuesta reescribir. Además, en productos construidos sobre Supabase o Firebase buena parte de la autorización vive en la base de datos, en políticas de fila o en reglas de acceso, no en el backend. Una política permisiva deja todos los datos accesibles desde el navegador aunque la aplicación parezca correcta. En fase temprana esta revisión se hace con pocos días de trabajo y evita el tipo de error que un fondo de inversión o un cliente corporativo detecta en la due diligence.
Qué se pone en juego
- Cuentas, sesiones y tokens de todos los clientes del producto
- Datos de cada tenant: proyectos, documentos, métricas y facturación
- Claves de API, service role y secretos del entorno cloud
- Endpoints de API, roles y permisos del modelo de datos
- Políticas RLS o reglas de acceso de la base de datos
- Integraciones, webhooks y servicios de terceros conectados
Superficie de ataque habitual
Políticas RLS ausentes o demasiado permisivas: con la clave pública del frontend se lee la base de datos entera desde el navegador.
Control de acceso por objeto roto (IDOR/BOLA): el endpoint valida que haya sesión pero no que ese usuario sea dueño del recurso que pide.
Aislamiento multi-tenant defectuoso: cambiar un identificador de organización devuelve datos de otra empresa cliente.
Rol o permisos guardados en el cliente: el registro acepta un campo de rol o de plan que la aplicación después da por bueno.
Secretos en el repositorio o en el bundle: claves privadas de servicios, tokens de pago o credenciales de base de datos expuestas.
Almacenamiento cloud o staging abiertos: buckets públicos, entornos de pruebas accesibles desde internet y compartiendo datos de producción.
Servicios para startups y productos saas
Estos son los servicios que más se contratan en este sector. Se pueden combinar según el alcance. Si vas a pedir presupuesto, empieza por ver cómo contratar un pentesting.
Lo que se encuentra de verdad en una auditoría de este sector
No son casos teóricos de un catálogo: son los tipos de hallazgo que aparecen una y otra vez.
RLS desactivado
La tabla principal tiene RLS desactivado o una política que permite leer a cualquier usuario autenticado. La clave pública del frontend permite consultarla directamente desde el navegador: los datos de todos los clientes, sin explotar nada.
El cliente de al lado
El endpoint comprueba la sesión pero no la pertenencia del recurso. Cambiando el identificador del proyecto o de la organización se ven los datos de otra empresa. Es el fallo más repetido en productos multi-tenant jóvenes.
Rol de administrador en el registro
El formulario de alta acepta un campo de rol, plan o propietario que el frontend no muestra pero que la API asigna tal cual. Cualquiera puede registrarse como administrador de su organización o cambiar su plan.
Normativas que os van a pedir
Estas son las que aparecen con más frecuencia en contratos, licitaciones y auditorías de este sector, y la razón por la que suelen exigirlas.
RGPD
Relevante porque un SaaS trata datos personales de sus clientes y de los usuarios de sus clientes, y debe poder demostrar medidas de seguridad.
ISO 27001
Relevante porque cada vez más clientes empresariales la exigen al proveedor SaaS en sus cuestionarios de seguridad.
NIS2
Relevante porque si tus clientes son entidades esenciales o importantes, la seguridad de su proveedor entra en la cadena de suministro.
SOC 2
Relevante porque habitual cuando vendes a empresas de Estados Unidos o quieres demostrar controles a un fondo de inversión.
Hacemos la prueba técnica y el informe que tu auditor necesita. No somos entidad certificadora ni asesoría de cumplimiento.
¿Tu proyecto entra en este sector?
Cuéntanos qué quieres auditar y te enviamos un presupuesto detallado en menos de 24 horas, sin coste y sin compromiso.
Solicitar auditoríaCiberseguridad en otros sectores
Cada sector tiene su propia superficie de ataque y sus normativas. Estas son las que trabajamos.
Preguntas frecuentes
¿Revisáis productos construidos sobre Supabase o Firebase?
¿Sirve antes de una ronda de inversión o una due diligence?
¿Cuánto cuesta revisar la seguridad de un MVP?
¿Caja gris o caja blanca en un producto joven?
¿Necesita tu empresa una auditoría de seguridad?
Presupuesto personalizado en menos de 24 horas. Consultoría inicial gratuita. Sin compromiso.