Pentesting de aplicaciones SaaS: encuentra las vulnerabilidades antes de que las encuentren tus clientes

Las aplicaciones SaaS tienen una superficie de ataque única: múltiples tenants sobre la misma infraestructura, APIs críticas, integraciones de terceros y datos de clientes enterprise. Un fallo de aislamiento puede comprometer a todos tus clientes a la vez.

Última actualización:

Dimensiona tu proyecto · Solicitar auditoría de seguridad SaaS

¿Prefieres hablarlo? Llámanos al +34 960 730 013

¿Por qué el pentesting para SaaS es diferente al pentesting web estándar?

Un pentesting web estándar cubre OWASP Top 10. En un SaaS hay capas adicionales que los scanners automáticos y los tests genéricos pasan por alto: ¿puede un usuario del plan Starter acceder a datos de un usuario del plan Enterprise? ¿Están correctamente aislados los tenants en la base de datos? ¿La lógica de billing puede manipularse? ¿Las webhooks exponen datos entre clientes? ¿Los tokens de API tienen scopes excesivos? Estas vulnerabilidades son específicas del modelo de negocio SaaS y requieren pentesters que entiendan el producto, no solo la tecnología.

Qué cubre el pentesting SaaS

  • Aislamiento multi-tenant: validación de que ningún usuario accede a datos de otro tenant
  • Autenticación y sesiones: SSO, OAuth 2.0, tokens JWT, MFA y refresh tokens
  • APIs REST y GraphQL: BOLA, mass assignment, rate limiting y exposición de datos
  • Lógica de negocio y billing: manipulación de planes, bypass de límites y fraude
  • Integraciones y webhooks: validación de firmas y exposición de datos entre clientes
  • Permisos y roles: escalada de privilegios y acceso entre organizaciones
  • Panel de administración: protección del backoffice y rutas administrativas
  • Asistente de IA integrado: inyección de instrucciones y fuga de datos entre clientes (OWASP Top 10 para LLM)
  • Ficheros y documentos: subida, descarga con URL firmadas y PDF generados por cliente
  • Superficie expuesta del SaaS: IP públicas y servicios asociados, si entran en el alcance

Metodología de pentesting para SaaS

  1. Reconocimiento del producto: Entendemos el modelo de negocio, los roles de usuario, los planes de precios y las integraciones. Sin conocer el producto no se detectan los fallos de lógica de negocio.
  2. Enumeración de la superficie: Mapeamos todos los endpoints, APIs, webhooks, paneles de administración y funciones autenticadas. Identificamos los activos de mayor valor para un atacante.
  3. Pruebas de aislamiento multi-tenant: Simulamos ataques de un tenant contra los datos de otro: IDOR, manipulación de IDs, acceso a rutas de API ajenas y extracción de datos vía GraphQL.
  4. Análisis de lógica de negocio: Probamos los flujos de billing, gestión de suscripciones, límites de uso y permisos de roles. Buscamos inconsistencias que un atacante podría explotar para obtener ventajas indebidas.
  5. Informe ejecutivo + técnico: Entregamos evidencias (PoC) de cada hallazgo, clasificación CVSS por criticidad y hoja de ruta de remediación priorizada por impacto real en el negocio.

Entregables del pentesting SaaS

  • Informe ejecutivo: riesgo en términos de negocio e impacto por cliente
  • Informe técnico: vulnerabilidades con PoC, CVSS y pasos de remediación
  • Matriz de hallazgos: criticidad, impacto en tenants y facilidad de explotación
  • Reunión de cierre con el equipo de producto y seguridad
  • Soporte durante la remediación y re-test para verificar las correcciones, según el proyecto y lo acordado

¿Cuándo necesita tu SaaS un pentesting?

  • Antes de cerrar contratos con clientes enterprise que exigen informes de seguridad
  • Para cumplir los requisitos de SOC 2 Tipo II, ISO 27001 o cuestionarios de due diligence
  • Cuando añades una integración nueva con terceros o un cambio mayor en la arquitectura
  • Antes de lanzar una versión con cambios en autenticación, billing o gestión de permisos
  • Cuando un cliente enterprise o inversor solicita evidencia de pruebas de seguridad

Preguntas frecuentes sobre pentesting SaaS

¿El pentesting SaaS requiere acceso al código fuente?

No necesariamente. El pentesting de caja negra o caja gris (sin acceso al código) ya detecta la mayoría de vulnerabilidades críticas en SaaS. Si nos das acceso al código fuente (caja blanca), combinamos el test de intrusión con revisión estática (SAST) para mayor cobertura.

¿Podemos hacer el pentesting sobre el entorno de staging?

Sí. Es la opción más habitual en SaaS: preparas un entorno de staging con datos representativos (no datos reales de clientes) y ejecutamos el pentesting ahí. Lo importante es que el entorno sea fiel a producción en configuración, infraestructura y lógica de negocio.

¿El pentesting SaaS cubre también la infraestructura cloud?

Puede incluirse como alcance adicional. El pentesting de aplicación SaaS cubre la capa de aplicación (web, API, lógica). Si necesitas también revisar la configuración de IAM, grupos de seguridad, S3 policies o Kubernetes, lo añadimos como un componente de pentesting cloud.

¿Cuánto tiempo dura un pentesting de una aplicación SaaS?

Entre 5 y 10 días hábiles para aplicaciones de complejidad media. La duración depende del número de endpoints, roles de usuario, integraciones y la profundidad acordada. Para SaaS con arquitectura de microservicios puede extenderse más.

¿El informe vale para presentar a clientes enterprise o inversores?

Sí. El informe ejecutivo está diseñado para ser presentado a dirección, clientes enterprise y en procesos de due diligence de inversión. Incluye resumen del alcance, metodología, hallazgos y estado de remediación.

¿Cómo probáis el aislamiento entre clientes en un SaaS multi-tenant?

En caja gris, con credenciales de al menos dos clientes (tenants) de prueba y de todos los roles de cada uno. Cada operación que hace un cliente se repite con los identificadores del otro: lecturas, ediciones, exportaciones, búsquedas, descargas de ficheros, PDF generados, webhooks y tareas programadas. Si el aislamiento depende de la base de datos (por ejemplo, seguridad a nivel de fila en PostgreSQL), comprobamos también los caminos que pueden saltárselo, como consultas de informes o procesos en segundo plano.

¿Seguís OWASP ASVS? ¿Qué nivel?

Sí, como lista de verificación junto a la guía de pruebas de OWASP (WSTG) y el OWASP API Security Top 10. El nivel 2 de ASVS es el de referencia para un SaaS que trata datos personales o de negocio de sus clientes; el nivel 3 se reserva para aplicaciones críticas, como las financieras o sanitarias. En la propuesta indicamos qué nivel se cubre y el informe lo refleja.

¿Qué pasa si el SaaS tiene un asistente de inteligencia artificial?

Se prueba como parte del alcance con el OWASP Top 10 para aplicaciones con modelos de lenguaje: inyección de instrucciones directa e indirecta (a través de documentos o datos que el asistente lee), respuestas que revelan información de otro cliente, permisos de las herramientas a las que el asistente puede llamar y qué datos salen hacia el proveedor del modelo. Aunque el asistente solo reciba cifras agregadas, conviene comprobar que nadie puede hacer que reciba otra cosa.

¿Se incluye el re-test? ¿Cómo comunicáis los hallazgos críticos?

Depende del tipo de proyecto y de las condiciones y necesidades de cada cliente: si se incluye, el plazo para pedirlo y lo que cubre se fijan en la propuesta. Los hallazgos críticos no esperan al informe: se comunican en cuanto se confirman, para que puedas actuar durante la propia prueba.

¿Qué información necesitáis para darnos presupuesto sin reunión?

Con esto podemos cerrar una horquilla: dominios y entornos (idealmente uno de pruebas igual a producción), número aproximado de endpoints de la API (la especificación OpenAPI ayuda), pantallas, roles de usuario, cuántos clientes de prueba habrá, integraciones con terceros, si hay asistente de IA, IP públicas en alcance, fechas en que estaría disponible el entorno y qué necesitas del informe (idioma, carta de realización para un tercero). Si algo no está claro, lo indicamos como supuesto en la propuesta.

Recursos relacionados

¿Listo para proteger tu empresa?

Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.

Dimensiona tu proyecto · Solicitar auditoría de seguridad SaaS