1. Definir qué entra en la revisión
Haz un inventario de la web pública, el panel de administración, las API, los formularios y las integraciones que sostienen la actividad. Identifica quién mantiene cada pieza y qué datos trata. Una tienda con pagos, un portal de clientes y una web informativa necesitan alcances distintos; el número de páginas por sí solo no describe esa diferencia.
Antes de empezar, acuerda por escrito dominios, entornos, cuentas de prueba, fechas y límites. Incluye quién autoriza las comprobaciones, cómo se avisa de una incidencia y cuándo hay que detenerlas. Los servicios de terceros requieren comprobar sus condiciones y permisos; que aparezcan en tu web no los convierte en parte del alcance autorizado.
2. Pedir un método que se pueda explicar
OWASP WSTG reúne una metodología de pruebas para aplicaciones web. ASVS ofrece requisitos para verificar controles de seguridad. Son referencias para concretar el trabajo, no certificados de que una empresa o una web sean invulnerables. [1] [2]
Pide que la propuesta indique qué áreas se revisarán y qué queda fuera: configuración, autenticación, permisos, gestión de sesiones, tratamiento de entradas y funciones de negocio relevantes. La combinación de herramientas y revisión manual debe responder al alcance acordado. Una comprobación automática aislada no basta para afirmar que se ha revisado cada flujo de tu aplicación.
3. Revisar accesos y cambios con contexto
Prepara una relación de perfiles: visitante, cliente, empleado y administrador, cuando existan. El equipo que realiza la auditoría debe entender qué puede hacer cada uno. Una función aparentemente normal puede ser un problema si está disponible para un perfil que no la necesita. Facilita cuentas dedicadas, evita compartir credenciales personales y acuerda su retirada al cerrar el trabajo.
La revisión también debería considerar cómo se mantienen el CMS, las extensiones y las dependencias. Pregunta quién aprueba actualizaciones, dónde se prueban y cómo se vuelve a una versión anterior. Registrar una versión antigua es un dato útil; convertirlo en una prioridad exige conocer su exposición, el uso real y las medidas existentes.
4. Exigir hallazgos que permitan actuar
Cada hallazgo debería describir el componente afectado, la evidencia mínima necesaria, el impacto posible, las condiciones para que ocurra y una recomendación concreta. El informe debe proteger información sensible: limita capturas y datos de prueba a lo necesario y acuerda quién tendrá acceso al documento y durante cuánto tiempo.
Ejemplo hipotético: si una cuenta con permisos básicos puede consultar un documento reservado, el informe debe explicar la separación de permisos esperada, la observada y la corrección propuesta. No necesita copiar documentos reales para demostrar el problema. El resumen para dirección debe traducir la prioridad técnica en una decisión comprensible, sin exagerar el impacto.
5. Separar la corrección de su comprobación
Aclara si el presupuesto cubre solo la auditoría, también las correcciones o una nueva comprobación posterior. Asigna a cada acción una persona responsable y una fecha acordada. Si intervienen el proveedor de hosting y la agencia de desarrollo, define quién coordina los cambios y quién confirma que no se han alterado funciones esenciales.
Cerrar una tarea no demuestra que el problema haya desaparecido. Conserva evidencia de la comprobación posterior y registra las limitaciones pendientes. Después de cambios importantes en accesos, pagos o integraciones puede ser necesario revisar de nuevo el alcance. La auditoría describe un estado y un momento; no sustituye el mantenimiento continuo.
6. Preparar una primera conversación útil
Lleva una descripción de la actividad, las URL principales, la tecnología conocida, los proveedores implicados y las fechas que debes evitar. No envíes contraseñas ni bases de datos en el primer contacto. Explica qué te preocupa: continuidad del servicio, permisos de clientes, un cambio reciente o falta de visibilidad sobre el mantenimiento.
Para trabajar desde Barcelona con equipos de otros países, acuerda idioma del informe, husos horarios y un contacto operativo. La cercanía ayuda a coordinarse, pero la calidad depende de un alcance preciso, evidencias claras y seguimiento. Ese es el criterio más útil para comparar propuestas y convertir la revisión en una mejora verificable.