¿Podré decir que mi aplicación cumple MAS-L1?
El informe indica qué controles del perfil acordado cumple tu aplicación, en qué versión y en qué plataforma, y puedes enseñarlo a tus clientes o aseguradoras. Si te hace falta, también te damos una carta firmada con el perfil, la versión probada, la fecha y el resultado, sin enseñar el detalle de los hallazgos. No es una certificación: OWASP no certifica aplicaciones. Si algún control no se cumple, lo corriges y lo comprobamos en el retest.
¿Cuánto se tarda y cuánto cuesta?
Depende de cuántas plataformas haya que probar (Android, iOS o ambas), del perfil y los controles incluidos y de la complejidad de tu aplicación. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el informe incluido. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
¿En qué se diferencia de un pentest móvil?
Una auditoría MASVS revisa los controles frente a unos requisitos acordados. Un pentest de aplicaciones móviles investiga las vulnerabilidades explotables y su impacto. Si necesitas las dos cosas, las podemos combinar en un solo proyecto, para que el trabajo de una sirva también a la otra.
¿MASVS cubre las APIs de backend?
No, MASVS se centra en la aplicación móvil. Si también quieres probar el backend y las APIs, podemos combinar la auditoría con un pentest de aplicaciones móviles.
¿Qué necesitáis de nosotros?
Las builds de la aplicación (APK o AAB para Android, IPA para iOS), usuarios de prueba para cada rol que haya que probar y acceso al entorno que prefieras, ya sea producción o un entorno de pruebas. Lo concretamos en la propuesta.
¿Es necesario dar el código fuente?
No es imprescindible. La mayoría de los controles de MASVS se pueden comprobar sobre la aplicación compilada, pero depende de los requisitos del perfil acordado: algunos, como el de dependencias con vulnerabilidades conocidas, dan un resultado más completo con un listado de dependencias o el código fuente.
¿Probáis en dispositivos físicos?
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu aplicación, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
¿Usáis IA con mi aplicación?
Sí, para cubrir más partes de tu aplicación y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
¿El retest está incluido?
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
¿En qué formato recibimos los hallazgos?
Recibes un informe por plataforma con todos los hallazgos detallados. Si además quieres usarlos desde tus herramientas, también te los damos en CSV o JSON.
¿En qué idioma está el informe?
En inglés por defecto. Si lo necesitas en español, dínoslo.
¿Cómo se gestiona la confidencialidad?
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema.
