¿Qué se acuerda antes de empezar?

Activos, roles, permisos, límites, ventana, entregables y condiciones de retest.

¿Es una certificación?

No. El informe describe evidencia dentro del alcance, no cumplimiento integral ni seguridad garantizada.

¿Cómo inicio la consulta?

Compartí contexto no sensible en el formulario. No envíes credenciales.

Pentesting Web/API

Pentesting Web/API para fintech

Alcance para autorización, estados de pago y lógica de negocio. Pruebas con datos sintéticos, límites y evidencia de corrección.

Rekon — seguridad ofensiva híbrida · 2026-09-18

Priorizá flujos, no solo endpoints

Una evaluación de fintech parte de qué puede consultar o cambiar cada identidad. Saldos, movimientos, beneficiarios, aprobaciones y recuperaciones de cuenta tienen consecuencias distintas. Acordamos flujos y riesgos antes de probar, sin prometer cobertura universal.

Escenarios para discutir en el alcance

Ejemplos: repetir una solicitud de transferencia; reordenar confirmación y cancelación; intentar aprobar una operación con un rol menor; cambiar el identificador de una cuenta ajena; verificar reintentos y límites. Son hipótesis a validar con permisos y fondos de prueba. La profundidad depende del entorno y de las integraciones autorizadas.

Límites que protegen la operación

Procesadores, bancos y APIs de terceros no entran automáticamente en alcance. Preferimos datos sintéticos y entornos adecuados a las pruebas acordadas. Las acciones con riesgo operativo requieren autorización específica, condiciones de suspensión y contacto responsable. No se promete ausencia de interrupciones.

Informe y evidencia para remediar

Cada hallazgo debe distinguir lo observado de lo inferido: una lectura no autorizada no prueba por sí sola capacidad de transferir fondos. Documentamos precondiciones, impacto demostrado y límites. El retest verifica la corrección de los escenarios acordados. Un pentest no equivale a certificación regulatoria: los requisitos dependen de entidad, jurisdicción y actividad.

Próximo paso

Usá la matriz de preparación, revisá el informe sintético y contanos qué flujo necesitás evaluar, sin enviar datos financieros ni credenciales.

Preguntas directas

¿Qué se acuerda antes de empezar?: Activos, roles, permisos, límites, ventana, entregables y condiciones de retest.
¿Es una certificación?: No. El informe describe evidencia dentro del alcance, no cumplimiento integral ni seguridad garantizada.
¿Cómo inicio la consulta?: Compartí contexto no sensible en el formulario. No envíes credenciales.

¿Es el momento de probar puertas?

Contanos qué hay que validar. Respondemos con alcance propuesto, no con brochure.

Hablar con Rekon Más en Learn