¿En qué se diferencia de las pruebas de protecciones?
Las pruebas de protecciones se hacen sobre una aplicación concreta, para el equipo que integra la solución. Este servicio audita la propia solución, para el equipo que la desarrolla.
¿Se prueban tanto Android como iOS?
Sí. Cubrimos las plataformas en las que funciona tu solución y acordamos las builds, los dispositivos y las condiciones de prueba de cada una.
¿Probáis en dispositivos físicos?
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu solución, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
¿Qué necesitáis de nosotros?
Una aplicación de referencia con tu solución integrada, para cada plataforma (APK o AAB para Android, IPA para iOS), y la configuración que quieras que probemos. Lo concretamos en la propuesta.
¿Es necesario dar el código fuente?
No. Por defecto, la auditoría es de caja negra (black-box): partimos del mismo conocimiento que tendría un atacante. Si lo prefieres, también podemos revisar el código fuente o la documentación.
¿En qué idioma está el informe?
En inglés por defecto. Si lo necesitas en español, dínoslo.
¿Cómo se gestiona la confidencialidad?
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema. Estas condiciones incluyen cómo tratamos los hallazgos sobre tu producto.
¿Qué pasa con lo que encontráis en mi solución?
Los resultados son confidenciales y solo los recibes tú, bajo NDA. No necesitamos información interna de tu arquitectura: trabajamos con una aplicación compilada con tu SDK, con el mismo acceso que tendría un atacante. La diferencia es que te contamos cómo lo hemos conseguido, para que puedas mejorar tu solución.
¿Usáis IA con mi solución?
Sí, para cubrir más partes de tu solución y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
¿Puedo enseñar los resultados a mis clientes o socios?
Sí. El informe incluye un resumen ejecutivo para lectores no técnicos. Si lo necesitas, también te damos una carta firmada, sin coste adicional, con lo que probamos, la versión, la fecha y el resultado.
¿Cuánto se tarda y cuánto cuesta?
Depende de las plataformas, las protecciones y las configuraciones incluidas en el alcance y de los objetivos del atacante. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el informe incluido, según la complejidad de tu solución. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
¿El retest está incluido?
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
