Mientras duermes, protegemos tu API, aplicación o SaaS.
LiveAPISec ejecuta pruebas de penetración de API automatizadas que cubren el OWASP API Top 10 más ataques deep-scan —430+ comprobaciones, de forma continua o bajo demanda— y un certificado en vivo que los compradores aceptan.
430+ comprobaciones · primer informe en ~2 minutos · sin tarjeta de crédito
- Último escaneo
- Jul 7
- Tests run
- 430+
- Open
- 0
¿Quién eres? Recibe el pitch que encaja:
Con la confianza de equipos con mentalidad de seguridad
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Habla el idioma de tu API
Cifras agregadas de todos los escaneos de LiveAPISec hasta la fecha.
Despliega rápido y mantente seguro
Todo el mundo espera software entregado rápido. Nadie perdona una brecha. Esta es la tensión en la que vive cada equipo de API, y exactamente lo que resuelve la automatización.
El mercado exige velocidad
Funciones cada semana, despliegues cada día. Frenar para una revisión manual de seguridad antes de cada release no es una opción: los competidores no esperarán.
…pero los clientes exigen seguridad
Tus clientes te confían their datos: pagos, datos personales, secretos de negocio. Cada BOLA o IDOR son sus datos en manos ajenas. Una filtración y la confianza (y el contrato) desaparecen.
Las pruebas manuales te obligan a elegir: fast or secure. Los pentests automatizados en cada despliegue eliminan la elección: la seguridad acompaña a la velocidad del release, y el certificado lo demuestra a cada cliente.
Todo lo que necesita la seguridad de tu API
Un motor determinista en el que tu equipo puede confiar, más IA para recortar el ruido.
Pruebas continuas de penetración de API
Tu API se somete a pruebas de penetración 24/7 contra el OWASP API Security Top 10: BOLA/IDOR, autenticación rota, mass assignment, inyección, límites de peticiones y más.
Certificado de confianza en vivo
Un certificado transparente y siempre actualizado que tus clientes pueden abrir. Ve exactamente qué se probó, cuándo y qué se corrigió.
Detecta desviaciones entre despliegues
La mayoría de los problemas de seguridad aparecen tras el despliegue: cambios de configuración, endpoints ocultos, límites desactivados. Vigilamos tu API de forma continua.
Webhooks de CI/CD
Lanza una prueba privada en cada despliegue. Los desarrolladores reciben resultados sin tocar el estado público del certificado.
Veredicto de CI frente a baseline
Bloquea releases solo por hallazgos NUEVOS: el endpoint de veredicto compara cada escaneo con el baseline para que los hallazgos conocidos y aceptados nunca bloqueen un despliegue.
Triaje asistido por IA
Menos falsos positivos. La IA clasifica y prioriza hallazgos, respaldada por un núcleo totalmente determinista y reproducible.
Cero almacenamiento de secretos
Las credenciales se cifran (AES-256) y nunca se registran. Solo tú y el escáner las ven.
Las cuentas que encantarán a tu CFO
Un pentest manual de API cuesta 15–50 mil USD y tarda semanas, por prueba. Aquí está la alternativa.
más barato que un pentest manual
Plan SaaS 1.548 USD/año frente a 15.000+ USD por un único encargo puntual que queda obsoleto en el siguiente despliegue.
del registro al primer informe
Sin llamadas de ventas, sin reuniones de alcance, sin esperar 3 semanas a un PDF. Señala, haz clic, evidencia.
monitorización, no una foto fija
Un informe de pentest caduca en el siguiente despliegue. Los escaneos continuos capturan la regresión que una auditoría anual nunca ve.
En marcha en menos de 10 minutos
Conecta tu API
Sube una especificación OpenAPI, RAML, GraphQL o SOAP/WSDL, o indícanos una URL. Añade credenciales: API key, Bearer, Basic u OAuth2.
La probamos continuamente
El motor determinista ejecuta pruebas de penetración OWASP API Top 10 con el calendario que elijas, o bajo demanda, con un ritmo prudente para no saturar tu API.
Muestra tu certificado
Incrusta la Trust Page en vivo en tu sitio. Tus clientes ven evidencia real y actual, no una insignia vacía.
Ve exactamente cómo funciona
Añade un proyecto en menos de un minuto y luego mira cómo se ejecuta el escaneo y aparece el certificado.
1 · Añade tu proyecto
Dale un nombre, indícanos tu especificación OpenAPI y la base URL, elige un calendario. Verificamos la propiedad y conectamos al instante.
- ✓ Sube YAML/JSON u obtén desde una URL
- ✓ Añade credenciales (API key, Bearer, Basic, OAuth2)
- ✓ Verifica la propiedad con un registro DNS TXT
2 · Lo probamos continuamente
Tu especificación se convierte en cientos de pruebas dirigidas del OWASP API Top 10. Los resultados llegan a tu panel en minutos.
- ✓ 8 categorías de prueba OWASP
- ✓ Ritmo prudente: nunca satura tu API
- ✓ Detección de deriva entre despliegues
3 · Recibe avisos al instante
Si se encuentra algo importante en tu API, lo sabrás de inmediato. Elige email, Slack, webhook u otro canal que prefieras, para estar siempre informado en el momento en que detectamos un problema.
- ✓ Email, Slack o webhook: tú eliges
- ✓ Alertas solo por hallazgos importantes (críticos / altos)
- ✓ No pierdas nunca una regresión en tu ruta de release
Choose how you want to be informed — always.
El OWASP API Top 10, automatizado
Un informe en vivo de las pruebas exactas que ejecutamos contra tu API.
Ejecuta una prueba de penetración en vivo ahora mismo
Indícanos una API —una base URL o una especificación OpenAPI— y ejecutamos una prueba de penetración real contra ella bajo demanda, en un sandbox seguro: cientos de simulaciones de ataque OWASP API Top 10 con ritmo prudente. Sin contratar a un proveedor, sin esperas, sin riesgo para tu tráfico de producción.
- BOLA / IDOR — Intenta acceder a recursos de otros usuarios intercambiando identificadores en rutas y consultas.
- Autenticación rota — Envía peticiones sin token o con un token basura para encontrar endpoints desprotegidos.
- Mass assignment — Añade campos extra a los payloads para ver si el servidor vincula más de lo que debería.
- Inyección (SQL / NoSQL) — Sondea inyección SQL, NoSQL y JSON con detección de firmas de error.
- Rate limiting — Dispara una ráfaga de peticiones para comprobar si falta el throttling 429.
- Mala configuración de CORS — Refleja un Origin hostil y comprueba si se permiten credenciales.
- Cabeceras de seguridad — Comprueba HSTS, X-Content-Type-Options y otras cabeceras de hardening.
- Parámetros sensibles — Busca secretos enviados en query strings en lugar de cabeceras o cuerpo.
- Debilidades JWT — alg=none, payloads falsificados, secretos HMAC débiles, falta de exp, inyección de kid.
- Manipulación de métodos HTTP — Métodos no declarados (DELETE, PATCH…) que saltan el control de acceso por método.
- Escalada de privilegios por mass assignment — Campos de rol no declarados que el servidor devuelve exactamente.
- Fingerprint de tecnología del servidor + EOL — Detección de stack con marcado de versiones al final de su vida útil.
- Revelación de información — .git, .env, endpoints de debug, actuator, métricas, especificaciones públicas, stack traces.
- Rate limits diferenciales + bypass por XFF — Login ilimitado junto a una API limitada; límites eludidos con X-Forwarded-For.
- Versiones antiguas de API — Endpoints v1 que omiten la autenticación presente en v2; endpoints eliminados que siguen vivos.
- GraphQL — Introspección en producción y falta de límites de complejidad de consultas.
- Comprobación de redirect_uri de OAuth — Redirecciones abiertas en el endpoint de autorización (robo de código/token).
- Cadena CORS + preflight CSRF — Origin null, bypass de allowlist con dominio similar, preflight en endpoints de escritura.
- Canary SSRF — Tu servidor pidió buscar nuestra URL: el callback demuestra peticiones del lado del servidor.
Más allá del escáner automatizado, un agente de IA autónomo ejecuta una prueba de penetración real, al estilo humano, en tu dev/staging entorno, solo para dominios verificados (localhost / IPs privadas están exentos). Este:
- planifica un ataque (IDOR/BOLA, autenticación rota, inyecciones, secretos, mass assignment) y lo revisa mientras aprende,
- sondea paso a paso, comparando tu registro con el de otro usuario, escalando roles, cazando secretos,
- puede incluso escribir y ejecutar su propio código de sonda en un sandbox seguro cuando se topa con un muro,
- escribe una evaluación final de IA —nivel de riesgo, cómo se ejecutó la prueba y correcciones accionables— mientras lo ves pensar en vivo.
Tu La URL y las credenciales nunca se envían a la IA: el agente solo ve rutas relativas y el servidor ejecuta las peticiones. desaconsejamos encarecidamente ejecutarlo contra producción: puede romper o destruir un sistema, así que nunca se ejecuta allí.
Prueba todo tu entorno: dev, staging y producción
Conecta la misma API en cada entorno y escanea cada uno a medida que avanza tu release. Las mismas 430+ comprobaciones se repiten automáticamente en cada despliegue: tu equipo nunca comprueba el mismo endpoint dos veces a mano.
Escanea la ruta de cada release
Asocia una API a varios entornos —desarrollo, staging, producción—, cada uno con su propia base URL. Ejecuta un escaneo contra cualquier entorno bajo demanda o deja que el planificador los compruebe continuamente.
- ✓ Desarrollo: captura problemas antes del merge
- ✓ Staging: verifica el release candidate
- ✓ Producción: monitoriza la API en vivo continuamente
- ✓ Bloquea la promoción cuando falla una etapa
- ✓ Olvida las re-pruebas manuales: la automatización cubre las mismas rutas cada vez
- ✓ Lanza nuevas versiones más rápido: la seguridad acompaña, nunca bloquea
Automatiza el 90 % aburrido.
Volver a probar los mismos endpoints antes de cada release es trabajo de máquina. Lo hacemos en cada despliegue y con calendario: los humanos solo revisan lo que es realmente nuevo. Así los equipos despliegan cada semana sin aumentar el backlog de seguridad.
Esto es lo que ven tus clientes
Un certificado real y el informe que hay detrás: transparente, preciso y siempre actualizado.
- Último escaneo
- Jul 7, 2026 · 09:41
- Vulnerabilidades abiertas
- 0
- Corregidos
- 12
- Alcance de las pruebas
- BOLA, injection, rate limit…
Pruebas automatizadas de seguridad, no una auditoría completa. El certificado no garantiza la seguridad.
Trust Page pública · visible en liveapisec.com/trust/payments-api
Historial de escaneos y hallazgos en tu panel
Convierte la seguridad en un activo de ventas
Tus clientes dejan de preguntar «¿están seguros nuestros datos?» y empiezan a ver la evidencia. La Trust Page pública muestra exactamente qué se probó, cuándo y qué se corrigió, con un lenguaje honesto y preciso. Sin insignias vagas.
- ✓ Endpoint público con historial de escaneos
- ✓ Redacción precisa: «superó pruebas automatizadas en el alcance probado»
- ✓ Correcciones y regresiones registradas a lo largo del tiempo
- ✓ Trust Page pública en Live y superiores
Muestra tu estado de seguridad donde quieras
Incrusta estos widgets en tu sitio, tus docs o tu página de precios. Se actualizan automáticamente con cada escaneo: datos en vivo, cero trabajo manual.
Una píldora pequeña para tu cabecera o pie.
Abiertos / corregidos / pruebas de un vistazo.
Tarjeta de escaneo compacta.
Franja de ancho completo para tu página de confianza o precios.
Avisa de nuevos problemas en tu ruta de release.
<a href="https://liveapisec.com/trust/payments-api" title="Verified by LiveApiSec" style="text-decoration:none;display:inline-block;color:inherit"><div data-liveapisec-widget data-slug="payments-api" data-type="badge"></div></a> <script src="https://liveapisec.com/widget.js" async></script>
Tipos: insignia · banner · tarjeta. Todo el widget es clicable (lleva a tu trust page) y solo se muestra cuando el proyecto supera sus pruebas. El atributo opcional data-name="..." añade tu etiqueta junto a la marca.
La confianza se diseña, no se declara
Cómo mantenemos seguros tus datos, tu API y tus clientes.
Credenciales cifradas con AES-256
Tus API keys se cifran en reposo con AES-256-GCM y nunca se registran ni se muestran en texto plano.
Propiedad verificada por DNS
Solo escaneamos APIs después de que demuestres la propiedad con un registro DNS TXT, registrado para auditoría.
Escáner en sandbox aislado
Los escaneos se ejecutan en un sandbox con límites estrictos de tiempo y peticiones para no saturar tu API.
Procesos alineados con SOC 2
Políticas, auditorías y reportes de evidencia pensados para compras enterprise.
Tratamiento de datos listo para GDPR
Recogida mínima de datos, opción de alojamiento en la UE y eliminación de datos bajo petición.
Acceso con privilegios mínimos
Nuestro equipo nunca puede leer tus secretos; el escáner solo los mantiene en memoria durante una ejecución.
Planes que crecen contigo
Un solo pentest manual cuesta 15.000 USD o más y caduca en tu siguiente despliegue. SaaS funciona todo el año por menos de una décima parte.
Dev
Para desarrolladores y freelancers. Solo CLI, sin certificado online.
Pentest autónomo con IA: solo dev/staging
Live
Pruebas solo online para APIs y SaaS: monitorización continua, sin CLI ni CI/CD.
Pentest autónomo con IA: solo dev/staging
SaaS
Ruta CI/CD completa + monitorización online + certificado público: pensado para equipos en crecimiento.
Pentest autónomo con IA: solo dev/staging
Team
Para organizaciones con mucha carga de API y a escala. Todo, proyectos ilimitados.
Pentest autónomo con IA: solo dev/staging
Enterprise
Para organizaciones con mentalidad de seguridad y a escala.
Autonomous AI pentest — dev/staging only
También incluido
- ✓ Cola de escaneos prioritaria
- ✓ Informe de evidencia SOC 2
- ✓ SSO / SAML
- ✓ SLA y soporte dedicado
Plan Dev: sin tarjeta de crédito · garantía de devolución de 14 días · cancela cuando quieras
Cada plan, cada función
Compara cada capacidad lado a lado: sin límites ocultos, sin letra pequeña. Cada plan es el producto completo.
| Función | Dev | Live | SaaS | Team | Enterprise |
|---|---|---|---|---|---|
| Pruebas continuas de seguridad de API | |||||
Suite OWASP API Top 10 8 categorías deterministas: BOLA/IDOR, autenticación rota, mass assignment, inyección, rate limiting, CORS, cabeceras de seguridad, parámetros sensibles | ✓ | ✓ | ✓ | ✓ | ✓ |
Suite Deep-scan (determinista) Debilidades JWT (alg=none, HMAC débil, falta de exp), manipulación de métodos HTTP, escalada de privilegios por mass assignment, fingerprint de tecnología del servidor + versiones EOL, revelación de información (.git/.env/debug/actuator/stack traces), rate limits diferenciales + bypass XFF, versiones antiguas de API, introspección y complejidad GraphQL, comprobación de redirect_uri OAuth, CORS null-origin + bypass de allowlist + preflight CSRF, callback canary SSRF, shadow APIs | ✓ | ✓ | ✓ | ✓ | ✓ |
Formatos de API soportados REST (OpenAPI/Swagger), RAML 0.8/1.0, GraphQL (introspección/SDL), SOAP (WSDL) | ✓ | ✓ | ✓ | ✓ | ✓ |
Descubrimiento automático de endpoints Rastrea bundles HTML/JS, sitemap y sondea rutas de API comunes: no hace falta OpenAPI | ✓ | ✓ | ✓ | ✓ | ✓ |
Detección de shadow APIs y desviaciones Endpoints no documentados, regresiones y cambios de configuración detectados entre despliegues | ✓ | ✓ | ✓ | ✓ | ✓ |
Payloads de prueba generados por IA Payloads adaptados a tu especificación por un LLM | ✓ | ✓ | ✓ | ✓ | ✓ |
Triaje de IA y filtrado de falsos positivos Veredictos del LLM (real / falso positivo) con confianza, respaldados por un núcleo determinista | ✓ | ✓ | ✓ | ✓ | ✓ |
| Límites de monitorización continua | |||||
Endpoints totales Endpoints únicos entre todos tus proyectos | 5,000 | 200 | 5,000 | 25,000 | Personalizado / ∞ |
Frecuencia de pruebas en vivo Con qué frecuencia volvemos a probar tus APIs las 24 horas (solo CLI en Dev) | — (solo CLI) | Cada 24 h | Cada 24 h | Cada 1 h | 15 min / personalizado |
Pruebas manuales / mes Escaneos bajo demanda que puedes lanzar cuando quieras | 30 | 0 | 50 | 2,000 | Unlimited |
Projects Productos, entornos o clientes separados, cada uno con su propio certificado | 1 | 1 | 1 | Unlimited | Unlimited |
Entornos (dev / staging / prod) Prueba la misma API en cada fase de release | Unlimited | Unlimited | Unlimited | Unlimited | Unlimited |
Usuarios del equipo Miembros de tu organización con acceso al panel | 1 | 3 | 10 | 50 | Unlimited |
| Experiencia para desarrolladores y CI/CD | |||||
CLI + API para desarrolladores CLI liveapisec (push, scan, gate releases) y API REST para agentes: necesario para CI/CD | ✓ | — | ✓ | ✓ | ✓ |
Webhooks de CI/CD Pruebas privadas lanzadas en cada despliegue, sin impacto en el estado público | ✓ | — | ✓ | ✓ | ✓ |
Veredicto de CI frente a baseline Bloquea despliegues solo por hallazgos nuevos (pass/fail + recuentos new/fixed/persisting) | ✓ | — | ✓ | ✓ | ✓ |
Disparadores de despliegue GitHub / GitLab Conecta repositorios automáticamente para probar tras el despliegue | ✓ | — | ✓ | ✓ | ✓ |
Progreso del escaneo en vivo y log del agente Observa cada paso de un escaneo en tiempo real | ✓ | ✓ | ✓ | ✓ | ✓ |
| Pruebas avanzadas con IA | |||||
Pentest en vivo Hacker mode (AI) Pentest autónomo al estilo humano que planifica, sondea y pivota | — | — | ✓ | ✓ | ✓ |
Plan de ataque + revisión El agente mantiene un plan de ataque explícito y lo revisa mientras aprende | — | — | ✓ | ✓ | ✓ |
Ejecución de código en sandbox El agente escribe y ejecuta su propio código de sonda en un sandbox aislado | — | — | ✓ | ✓ | ✓ |
Objetivos de ataque guiados Centra al agente en IDOR, escalada, secretos o inyecciones | — | — | ✓ | ✓ | ✓ |
Ask mode (cuestionario de código) 270 preguntas verificables sobre lo que el escáner no puede ver desde fuera (código, RBAC, aislamiento de tenants, criptografía, SDLC), respondidas por ti o por tu asistente de IA, con seguimiento de la IA | — | — | ✓ | ✓ | ✓ |
| Confianza y cumplimiento | |||||
Trust Page pública Certificado en vivo con historial de escaneos que puedes mostrar a tus clientes | — | ✓ | ✓ | ✓ | ✓ |
Widgets incrustables Insignia, banner, tarjeta, contador, alerta: embed listo para tu sitio | — | ✓ | ✓ | ✓ | ✓ |
Verificación de dominio Prueba de propiedad por DNS TXT / CNAME / archivo HTTP (registro de auditoría) | ✓ | ✓ | ✓ | ✓ | ✓ |
Credenciales cifradas con AES-256 API keys cifradas en reposo, nunca registradas | ✓ | ✓ | ✓ | ✓ | ✓ |
Allowlist de IPs del escáner IPs de salida estables para incluir en tu firewall/WAF | ✓ | ✓ | ✓ | ✓ | ✓ |
Informe de evidencia SOC 2 Informe de seguridad listo para procurement | — | — | — | — | ✓ |
Mapeo de cumplimiento (PCI DSS / SOC 2 / ISO 27001 / GDPR / NIS2) Hallazgos abiertos agrupados por requisito del framework: mapeo indicativo para tu auditor (no es una certificación) | — | — | ✓ | ✓ | ✓ |
SSO / SAML Inicio de sesión único para tu organización | — | — | — | — | ✓ |
Cola de escaneos prioritaria Tus escaneos saltan la cola | — | — | — | — | ✓ |
SLA y soporte dedicado Uptime garantizado y un ingeniero asignado | — | — | — | — | ✓ |
Todos los planes incluyen cobertura completa
Una suscripción cubre todos los formatos, todas las categorías OWASP API Top 10 y toda la cadena de herramientas: nada se vende por separado.
Pentest en vivo Hacker mode (AI)
Pentest autónomo al estilo humano: el agente planifica un ataque, sondea endpoints paso a paso, escribe y ejecuta su propio código en sandbox y entrega una evaluación escrita por IA con correcciones. Disponible desde SaaS: solo dev/staging, nunca producción.
Formatos de API
OWASP API Top 10 — probado
Lenguajes y frameworks detectados por la CLI (scan-code)
✨ Se añaden formatos y pruebas con regularidad. Enterprise obtiene soporte de protocolos personalizados y un roadmap dedicado.
Preguntas, respondidas con honestidad
¿Es seguro probar mi API?+
Sí. El escáner se ejecuta en un sandbox con ritmo estricto, timeouts y límites de peticiones. Tú eliges el calendario y puedes pausarlo en cualquier momento.
¿Es una prueba de penetración real?+
Sí: una prueba de penetración de API automatizada. Ejecutamos simulaciones de ataque OWASP API Top 10 (BOLA/IDOR, autenticación rota, inyección, mass assignment, rate limiting, CORS, cabeceras de seguridad, shadow APIs) y pruebas deep-scan (debilidades JWT, manipulación de métodos HTTP, escalada de privilegios por mass assignment, fingerprint de tecnología del servidor con versiones EOL) bajo demanda o con calendario, como un pentester automatizado. Complementa una prueba de penetración manual liderada por humanos; no la sustituye.
¿Puedo ejecutar una prueba de penetración en vivo desde el sitio?+
Sí. Añade tu API o pega una especificación OpenAPI y pulsa «Ejecutar pentest en vivo»: el sandbox empieza a probar de inmediato y lo ves en directo en la terminal. La misma prueba también está disponible desde nuestra CLI (liveapisec scan) para tu CI/CD.
¿Qué es «Hacker mode (AI)»?+
Un agente de IA autónomo que ejecuta una prueba de penetración real, al estilo humano, sobre tu API (solo dev/staging, nunca producción): planifica un ataque, sondea endpoints paso a paso —probando IDOR, autenticación rota, inyecciones, secretos y mass assignment—, observa las respuestas, se autocorrige y escribe una evaluación final con correcciones. Incluso puede escribir y ejecutar su propio código de sonda en un sandbox. Se ejecuta manualmente bajo demanda, requiere un dominio verificado para objetivos públicos (localhost / IPs privadas están exentas) y tu URL y credenciales nunca se envían a la IA. Desaconsejamos encarecidamente ejecutarlo contra producción: puede romper o destruir un sistema.
¿Guardáis mis credenciales?+
Las credenciales se cifran con AES-256-GCM en reposo y solo se descifran en memoria durante un escaneo. Nunca se registran ni se muestran en texto plano.
¿Qué significa realmente «passed» en el certificado?+
Significa que la API superó las pruebas automatizadas OWASP API Top 10 en el alcance probado en una fecha concreta. Nunca afirmamos seguridad absoluta: el texto del certificado es deliberadamente preciso.
¿Cómo verificáis que soy el propietario de la API?+
Demuestras la propiedad con un registro DNS TXT (o una confirmación manual en planes inferiores). Cada autorización se registra con fecha, hora y alcance.
¿Cómo se cuentan los endpoints?+
Un endpoint es un método HTTP + ruta únicos en un proyecto (por ejemplo, GET /users). Los endpoints se suman entre todos tus proyectos; los entornos comparten la misma especificación, así que no multiplican el recuento. Tu panel muestra el uso en vivo (X / Y endpoints) para que siempre sepas dónde estás.
¿Todos los planes incluyen CI/CD y la suite OWASP completa?+
Todos los planes incluyen la suite baseline OWASP API Top 10 y la suite Deep-scan completa. El plan Dev es solo CLI para desarrolladores (sin certificado online ni escaneos programados). El plan Live añade monitorización online continua y una Trust Page pública, pero no CLI/CI-CD. El plan SaaS te da CLI/CI-CD y certificado, además de mapeo de cumplimiento. Hacker mode (AI) empieza en SaaS; Ask mode (el cuestionario de código) empieza en SaaS. Los extras Enterprise (informe SOC 2, SSO, cola prioritaria, SLA) están en Enterprise.
¿En qué se diferencia de una prueba de penetración manual?+
Una prueba de penetración manual es una foto fija: 15.000 USD o más, 2–4 semanas de espera y obsoleta en tu siguiente despliegue. Ejecutamos las mismas clases de ataque OWASP de forma continua —cada despliegue, cada noche— por menos de una décima parte del precio. Úsanos para mantenerte limpio todo el año y trae a humanos una vez al año para lo exótico.
¿Esto romperá mi producción?+
No. Los escaneos estándar son sondas de solo lectura con ritmo prudente, presupuestos estrictos de tiempo/peticiones y un sandbox aislado: no pueden modificar tus datos. Solo Hacker mode (AI) es destructivo, y por eso está totalmente bloqueado en producción y se ejecuta únicamente en dev/staging.
¿Qué pasa si encontráis algo crítico a las 3 de la mañana?+
Recibes una alerta en segundos —email, Slack o webhook, tú eliges— con el hallazgo, la evidencia y la corrección. Los hallazgos críticos y altos también pueden bloquear el despliegue mediante nuestro endpoint de veredicto de CI, para que la vulnerabilidad nunca llegue a producción.
¿Puedo subir o bajar de plan en cualquier momento?+
Sí. La mejora es instantánea, las bajadas se aplican en el siguiente ciclo de facturación y conservas todos los escaneos y certificados existentes. Los planes de pago incluyen una garantía de devolución de 14 días.
Tu primer pentest de 140 pruebas es gratis
Sin tarjeta. Sin llamada de ventas. Resultados en ~2 minutos; luego decide con evidencia, no con promesas.
Ejecutar mi pentest gratis →