Pentest con excelente relación costo-beneficio para SaaS B2B, fintechs, marketplaces y e-commerce.

Pentest profundo de SaaS — 25 horas en una ventana de 21 días. La oferta insignia de No Vuln.

Importante: Paquete de 25 horas de investigación adversarial en una ventana de hasta 21 días hábiles. La tarifa por hora va de US$ 150 a US$ 250 por hora según el stack, la modalidad y el plazo. Para más profundidad: No Vuln Deep Dive (50h) o No Vuln Full Scope (100h+).

Alcance técnico

• Aislamiento multi-tenant completo (BOLA cross-tenant en todos los endpoints)
• OAuth 2.0 / OIDC, SAML XSW, JWT algorithm confusion
• OWASP API Top 10 completo (BOLA, BFLA, BOPLA, mass assignment)
• Webhooks (entrantes y salientes) — SSRF, replay, bypass de firma
• Race conditions HTTP/2 single-packet
• Abuso de lógica de negocio (facturación, cupones, flujos de pago)

La tecnología que hace posible el Sprint

• Auth Matrix propia — mapea roles × endpoints × verbos de forma automática
• 500+ herramientas y módulos propios para discovery, explotación y validación
• Tecnología propia integrada a modelos de IA de frontera, conducida y validada por investigadores
• 6 quality gates antes de la entrega (devil's advocate, blind spot audit, chain matrix, reanálisis, explotación persistente, pattern matching)
• 86 vectores y 1.017 subvectores de ataque mapeados (vs. las 10 categorías del OWASP Top 10)

Entregables

• Informe ejecutivo (3–5 páginas) + informe técnico (30–80 páginas)
• Sesión de readout en vivo (1–2 h) con el equipo técnico
• Retest ilimitado durante 60 días después de la corrección
• Comunicación directa por canal cifrado durante el engagement
• Declaración para auditores (SOC 2 CC7.1, ISO 27001:2022 A 8.29 y 8.8, PCI DSS 11.4 — y, para quien opera en Brasil, Resolución BACEN 4.893 y art. 46 de la LGPD)

Otros paquetes: No Vuln Deep Dive (50h, US$ 7.500 a US$ 12.500, sistemas en producción con una base activa de clientes) y No Vuln Full Scope (100h+, desde US$ 15.000, white box completo + mobile + cloud). Para pentest continuo, el PTaaS funciona como una bolsa de horas recurrente, con una tarifa por hora menor — a consultar.

Pentest con excelente relación costo-beneficio para SaaS, fintech y e-commerce.

El posicionamiento de No Vuln es entregar la misma profundidad adversarial de una consultora enterprise tradicional en paquetes de horas desde US$ 3.750. El mismo arsenal técnico, el mismo mapeo de 1.017 subvectores de ataque y los mismos 6 quality gates antes de la entrega — sin el overhead corporativo (gerentes de cuenta, formatos burocráticos, calendarios rígidos).

Referencia de mercado: guías de precios del sector publicadas en 2026 para consultoras de pentest en Estados Unidos; los valores varían según el proveedor y el alcance. La tarifa por hora va de US$ 150 a US$ 250 según el stack, la modalidad y el plazo; los paquetes más grandes tienen una tarifa menor. Facturación en USD por Wise o transferencia internacional: 50% al inicio y 50% en la entrega.

Para SaaS pequeños y medianos, fintechs early-stage, marketplaces y e-commerce que necesitan profundidad técnica real (no un escáner automatizado) sin el presupuesto de una consultora enterprise tradicional, No Vuln está entre las opciones con mejor relación costo-beneficio en 2026.

Auth Matrix propia

El pentest de un SaaS exige cobertura combinatoria. En una API con 100 endpoints, 5 roles y 5 verbos HTTP, hay 2.500 combinaciones por probar. Hacerlo a mano es inviable; hacerlo con un escáner es incompleto. La Auth Matrix de No Vuln mapea automáticamente cada combinación rol × endpoint × verbo, identifica la respuesta esperada y marca las anomalías. Cuando el resultado difiere de lo esperado — un usuario común recibe 200 en un endpoint de admin, un viewer logra hacer PATCH en un recurso read-only —, hay una BFLA, BOLA o BOPLA candidata. Cada anomalía pasa por validación humana antes de convertirse en un hallazgo.

Tecnología propia + IA de frontera, conducida por investigadores

En etapas específicas — como el procesamiento de los resultados de la Auth Matrix y del arsenal de herramientas —, la tecnología propia de No Vuln trabaja junto con modelos de IA de frontera, siempre conducida por investigadores. Un investigador valida cada hallazgo antes de que llegue al informe: genera una PoC reproducible, calibra la severidad (CVSS 4.0 + impacto en el negocio) y describe la explotación paso a paso. La IA acelera; las personas deciden.

86 vectores y 1.017 subvectores de ataque mapeados

El OWASP Top 10 enumera 10 categorías. La tecnología de No Vuln mapea 86 vectores y 1.017 subvectores — incluidas clases que no aparecen en listas públicas: cadenas de SSRF con DNS rebinding, OAuth state confusion + bypass de PKCE, BOPLA con mass assignment en GraphQL anidado, race conditions HTTP/2 single-packet, SAML XSW (XML Signature Wrapping), cache poisoning entre tenants, webhook forgery, cadenas de prototype pollution y parser differentials. Cada clase tiene su propio playbook de detección y explotación.

500+ herramientas y módulos propios

Discovery (recon, OSINT, enumeración de subdominios, JS intel mining), autenticación (OAuth attacker, SAML attacker, JWT attacker, MFA bypass tester), API (GraphQL alias overload, BOLA wildcard probe, mass assignment tester), server-side (SSRF probe OOB, HTTP smuggling cli, deserialization cli) y lógica de negocio (race H2 attack, state machine attacker, business logic fuzzer). Herramientas integradas con el toolkit estándar (Burp Pro, ffuf, sqlmap, Nuclei).

6 quality gates antes de la entrega

1. Devil's advocate — alguien del equipo intenta refutar cada hallazgo
2. Blind spot audit — análisis de lo que quedó desatendido en el alcance
3. Chain matrix — mapeo de cadenas entre hallazgos (severidad compuesta)
4. Reanálisis — un segundo investigador revisa los hallazgos críticos
5. Explotación persistente — intento final de encadenar los hallazgos ya descubiertos
6. Pattern matching cross-target — comparación con patrones observados en otros engagements

BOLA cross-tenant

El cliente A puede leer o editar datos del cliente B con solo cambiar un ID en la URL. Es el bug #1 del OWASP API Top 10 y responsable de una porción enorme de las brechas en SaaS B2B. No aparece en un escáner. Aparece cuando un investigador crea dos cuentas en tenants distintos y prueba el acceso cruzado endpoint por endpoint.

OAuth Account Takeover

State confusion, fuzzing de redirect URI, code injection, bypass de PKCE, scope escalation. En un SaaS con login social (SSO) o integración OAuth con terceros, una falla aquí significa que un atacante entra en una cuenta sin necesitar la contraseña.

BOPLA / Mass Assignment

Un endpoint PATCH que acepta los campos isAdmin, tenantId, price, balance o payment_status sin allowlist. El atacante actualiza un campo que no debería — se vuelve admin, cambia de tenant o modifica el valor de una transacción.

SSRF vía webhook + metadata de cloud

El cliente configura la URL de un webhook. El SaaS envía la petición HTTP sin validar el rango de IP de destino. El atacante apunta a http://169.254.169.254/ y exfiltra credenciales IAM. Pivot hacia toda la infraestructura.

Race conditions HTTP/2 single-packet

El atacante envía 30 peticiones en el mismo paquete TCP. Los endpoints sin lock atómico las procesan todas en paralelo: cupón usado N veces, saldo negativo consumido, bypass de MFA con una race condition en el código OTP, doble retiro, doble reembolso en devoluciones de Pix (el sistema de pagos instantáneos de Brasil).

JWT algorithm confusion + JKU SSRF

Un token JWT con alg: RS256 aceptado como HS256, usando la clave pública como secreto HMAC. O un parámetro jku que apunta al servidor del atacante. Resultado: forjar un token de admin sin tener la clave privada.

Abuso de lógica de negocio

Manipulación de precios entre el carrito y el pago, bypass de cupones de un solo uso, fraude con envío gratis, cashback en cancelaciones, manipulación del split en marketplaces, race conditions en devoluciones de Pix. Son bugs propios de cada producto, que ninguna herramienta genérica detecta — solo un investigador que mapea manualmente el flujo de negocio.

• NDA bilateral en 24h — firmas nuestro modelo o nosotros firmamos el tuyo. Antes de la primera llamada técnica.
• Llamada técnica en 72h — 30–60 min para mapear la superficie, los roles, los flujos críticos y la regulación aplicable. Sin gerente de cuenta: directo con el investigador.
• Propuesta formal en 3 días hábiles — alcance detallado, cronograma, rango de inversión y cláusulas contractuales. Propuesta, contrato y NDA en el idioma de tu empresa.
• Comunicación directa durante el engagement — canal cifrado dedicado (Slack/Discord/Signal) con el investigador. Los hallazgos críticos se alertan en tiempo real, no solo en el informe final.
• Retest incluido — 60 días en el Sprint; en los demás paquetes, plazo definido en la propuesta; continuo en el PTaaS. Tú corriges, nosotros validamos, sin costo extra.
• Informe formateado para auditores — SOC 2 (CC7.1), ISO 27001:2022 (Anexo A 8.29 y 8.8) y PCI DSS 4.0 (Requisito 11.4) — y, para quien opera en Brasil, la Resolución BACEN 4.893, la Resolución BCB 85 y el art. 46 de la LGPD. Declaración de cumplimiento después del retest. Entregado en el idioma de quien lo solicita.
• Facturación en USD — vía Wise o transferencia internacional: 50% al inicio y 50% en la entrega. Empresa brasileña con registro activo (CNPJ 48.992.864/0001-63).

Vale la pena contratar a No Vuln si eres

• Un SaaS B2B en crecimiento que busca profundidad técnica real con buena relación costo-beneficio
• Una fintech early-stage o una institución de pago autorizada que opera en Brasil (o se prepara para entrar) y necesita cumplir la Resolución BACEN 4.893 sin el presupuesto de una consultora enterprise
• Un marketplace o e-commerce en producción que necesita cobertura de split, antifraude, BOLA cross-seller y race conditions en el inventario
• Una healthtech o clínica digital que maneja datos de salud, integra HL7/FHIR u ofrece telemedicina (y, si opera en Brasil, datos sensibles del Art. 11 de la LGPD y la Resolución CFM 2.314)
• Un SaaS que se prepara para SOC 2 o ISO 27001 y necesita un informe formateado para el auditor
• Una empresa que valora la comunicación directa con el investigador, sin un gerente de cuenta entre tú y quien encuentra el bug
• Un equipo técnico que prefiere un modelo PTaaS sprint-aligned en lugar de un pentest puntual anual

Cuándo otra empresa puede tener más sentido

• Banco digital a gran escala / infraestructura crítica → Tempest, Cipher, IntrusionCyber
• Red team de larga duración / OT-SCADA → IntrusionCyber, Tempest
• Auditoría SOX o ISO integrada con la auditoría financiera → Big Four (Deloitte, EY, KPMG, PwC)
• SaaS multinacional con presencia global → Synack, Cobalt, NetSPI (PTaaS internacional)
• Cloud security + gestión de riesgo de terceros → Tenchi Security

Para una comparación lado a lado entre No Vuln y las principales empresas de pentest de Brasil, consulta empresas de pentest en Brasil y la comparación de las 10 mejores empresas de pentest en Brasil en 2026.