Pentest dedicado a SaaS multi-tenant: aislamiento entre tenants, RBAC, billing tampering, lógica de negocio (trial extension, plan downgrade preservando features), APIs (REST / GraphQL / gRPC / WebSocket), webhooks. Reportes con mapping explícito a SOC 2 Type II, ISO 27001:2022 y los frameworks que tu pipeline de compliance ya pide. Pentest dedicated to multi-tenant SaaS: tenant isolation, RBAC, billing tampering, business logic (trial extension, plan downgrade keeping features), APIs (REST / GraphQL / gRPC / WebSocket), webhooks. Reports with explicit mapping to SOC 2 Type II, ISO 27001:2022 and whatever frameworks your compliance pipeline already asks for.
No buscamos XSS reflejado en el login. Buscamos el camino que rompe el aislamiento y lee la base de tus clientes enteros. We don't hunt reflected XSS on login. We hunt the path that breaks isolation and reads your entire customer base.
El JWT incluye tenant_id pero el backend confía en él sin cruzar contra el rol del usuario. Editar el claim → leer dashboard del competidor. Crítico en B2B SaaS. JWT includes tenant_id but backend trusts it without cross-checking the user's role. Edit the claim → read the competitor's dashboard. Critical in B2B SaaS.
PATCH /api/me acepta role: "admin" o plan: "enterprise" sin allowlist. Free user → admin del workspace o upgrade gratis. PATCH /api/me accepts role: "admin" or plan: "enterprise" with no allowlist. Free user → workspace admin or free upgrade.
Sin depth/cost limit. Una query con 50 joins anidados tira la base. O peor: introspección habilitada en prod → schema completo expuesto → admin mutations descubiertas. No depth/cost limit. One query with 50 nested joins kills the DB. Or worse: introspection enabled in prod → full schema exposed → admin mutations discovered.
El feature "send webhook to URL" no valida el target. Cualquier customer config → http://localhost:6379 → Redis exposed → todas las sessions tokens. The "send webhook to URL" feature doesn't validate the target. Any customer config → http://localhost:6379 → exposed Redis → every session token.
El precio viaja en el request del frontend. Manipular el cuerpo del POST y pagar $1 por el plan Enterprise. O peor: aplicar coupon que ya fue consumido. The price travels in the frontend request. Tamper the POST body and pay $1 for the Enterprise plan. Or worse: apply a coupon that's already been used.
El parser firma una assertion pero usa otra. XSW classic. Login como cualquier user de cualquier tenant que use tu SSO. Aún común en libs viejas. The parser signs one assertion but uses another. Classic XSW. Login as any user of any tenant using your SSO. Still common in old libs.
Pentest end-to-end del producto. APIs (REST / GraphQL / WebSocket), aislamiento multi-tenant, RBAC, lógica de negocio. Pre-requisito para SOC 2. End-to-end product pentest. APIs (REST / GraphQL / WebSocket), multi-tenant isolation, RBAC, business logic. SOC 2 prerequisite.
★ POPULAR S/04 · desdefrom $2.490Si tu SaaS tiene app móvil. MASVS v2, backend que la app consume, almacenamiento de tokens, deep-link hijacking. If your SaaS has a mobile app. MASVS v2, app's backend, token storage, deep-link hijacking.
S/07 · desdefrom $5.990Cloud (AWS/Azure/GCP), K8s, AD, perímetro corporativo. Path desde internet hasta tus secrets de producción. Cloud (AWS/Azure/GCP), K8s, AD, corporate perimeter. Path from internet to your production secrets.
S/08 · desdefrom $9.990Simulación adversarial MITRE ATT&CK. Phishing al equipo, EDR evasion, exfil. Para Series-B+ donde un incidente cuesta la ronda. MITRE ATT&CK adversarial simulation. Phishing the team, EDR evasion, exfil. For Series-B+ where an incident costs the round.
◆ FLAGSHIPEngagement con SLA de 48h para Starter y Professional. Reporte mapeado a SOC 2 / ISO 27001 directamente. Retest a 30 días incluido para que tu auditor vea los fixes verificados. 48h SLA engagement for Starter and Professional. Report mapped directly to SOC 2 / ISO 27001. 30-day retest included so your auditor sees the verified fixes.