Pentesting Web y APIs
Pruebas manuales de aplicaciones web y APIs REST / GraphQL: autenticación y sesiones, autorización (IDOR / BOLA), abuso de lógica de negocio, inyecciones, SSRF y cadenas de ataque de varios pasos.
Athan Sec · Investigación independiente
Investigación independiente en seguridad ofensiva y descubrimiento de vulnerabilidades
Pruebas manuales y adversariales sobre aplicaciones web, APIs, entornos cloud y smart contracts, buscando las fallas que los escáneres automáticos no ven.
Cada proyecto termina con evidencia reproducible, impacto claro y remediación concreta, y cada hallazgo se gestiona mediante divulgación coordinada.
Servicios
Proyectos acotados y con alcance definido. Las pruebas comienzan solo tras autorización escrita y un alcance acordado.
Auditoría de Smart Contracts y Web3
Revisión de contratos Solidity / EVM y sus componentes off-chain: control de acceso, contabilidad y redondeo, reentrancy, manipulación de oráculos y precios, upgradeability y vectores económicos.
Seguridad Cloud e Infraestructura
Revisión de configuración y rutas de ataque en cuentas cloud e infraestructura expuesta: escalamiento de privilegios IAM, exposición de almacenamiento y secretos, superficie de red, CI/CD y cadena de suministro.
Investigación de vulnerabilidades y CVD
Investigación independiente sobre software y servicios, reportada en privado al fabricante bajo divulgación coordinada, con gestión de CVE y publicación técnica solo cuando existe corrección.
Cómo funciona un proyecto
-
Alcance y autorización
Activos, reglas de compromiso, ventanas de prueba y contactos se acuerdan por escrito antes de enviar cualquier tráfico.
-
Reconocimiento y pruebas
Pruebas manuales guiadas por hipótesis y apoyadas en herramientas propias; acciones destructivas o de alta carga solo con aprobación explícita.
-
Reporte
Cada hallazgo incluye justificación de severidad, pasos de reproducción, prueba de concepto y recomendaciones de remediación.
-
Re-test y cierre
Se verifican las correcciones y se actualiza el reporte. Los datos recolectados durante las pruebas se eliminan al cierre.
Divulgaciones y reconocimientos
Solo trabajo verificable públicamente: reportes publicados, Hall of Fame y CVEs.
Los hallazgos se divulgan solo con aprobación del programa o fabricante. Los reportes públicos y CVEs se listarán aquí a medida que se publiquen.
Clientes
Perfiles en plataformas
Política de divulgación coordinada
- Todas las pruebas se realizan con autorización explícita por escrito o dentro del alcance publicado de programas Bug Bounty / VDP.
- Las vulnerabilidades se reportan primero en privado a la parte afectada. No se comparten detalles públicamente antes de que exista corrección o venza el plazo acordado.
- Ventana de coordinación por defecto: 90 días desde el primer reporte, ajustable de común acuerdo si la corrección está en curso.
- Solo se accede a los datos mínimos necesarios para demostrar impacto; no se retienen, modifican ni extraen datos más allá de eso.
- Si encontraste una vulnerabilidad en los activos de Athan Sec, repórtala a la dirección de abajo — ver security.txt.
Leer el Programa de Divulgación de Vulnerabilidades completo →
Contacto
Para proyectos, coordinación de investigaciones o para reportar una vulnerabilidad. Usa PGP para detalles sensibles.
- Correo
- security@athansec.fyi
- Llave PGP
- La llave PGP pública se publicará aquí próximamente.
- RFC 9116
- /.well-known/security.txt
- Lang
- Idiomas: English, Español