Precios que se pagan solos

Es el plan más barato con la ruta CI/CD completa, el certificado público, el mapeo de cumplimiento y 1 proyecto: todo lo que un equipo SaaS necesita para pasar procurement enterprise. La mayoría de los equipos llega a SaaS tras el escaneo Dev gratuito.

El plan Dev es gratis para siempre y ejecuta la suite baseline OWASP completa por CLI, así que puedes evaluar el producto sin riesgo. Mejora a Live para monitorización online y certificado, o a SaaS para la ruta CI/CD completa, Hacker mode, Ask mode y exportaciones de cumplimiento.

Sí. El escáner se ejecuta en un sandbox con ritmo estricto, timeouts y límites de peticiones. Tú eliges el calendario y puedes pausarlo en cualquier momento.

Sí: una prueba de penetración de API automatizada. Ejecutamos simulaciones de ataque OWASP API Top 10 (BOLA/IDOR, autenticación rota, inyección, mass assignment, rate limiting, CORS, cabeceras de seguridad, shadow APIs) y pruebas deep-scan (debilidades JWT, manipulación de métodos HTTP, escalada de privilegios por mass assignment, fingerprint de tecnología del servidor con versiones EOL) bajo demanda o con calendario, como un pentester automatizado. Complementa una prueba de penetración manual liderada por humanos; no la sustituye.

Sí. Añade tu API o pega una especificación OpenAPI y pulsa «Ejecutar pentest en vivo»: el sandbox empieza a probar de inmediato y lo ves en directo en la terminal. La misma prueba también está disponible desde nuestra CLI (liveapisec scan) para tu CI/CD.

Un agente de IA autónomo que ejecuta una prueba de penetración real, al estilo humano, sobre tu API (solo dev/staging, nunca producción): planifica un ataque, sondea endpoints paso a paso —probando IDOR, autenticación rota, inyecciones, secretos y mass assignment—, observa las respuestas, se autocorrige y escribe una evaluación final con correcciones. Incluso puede escribir y ejecutar su propio código de sonda en un sandbox. Se ejecuta manualmente bajo demanda, requiere un dominio verificado para objetivos públicos (localhost / IPs privadas están exentas) y tu URL y credenciales nunca se envían a la IA. Desaconsejamos encarecidamente ejecutarlo contra producción: puede romper o destruir un sistema.

Las credenciales se cifran con AES-256-GCM en reposo y solo se descifran en memoria durante un escaneo. Nunca se registran ni se muestran en texto plano.

Significa que la API superó las pruebas automatizadas OWASP API Top 10 en el alcance probado en una fecha concreta. Nunca afirmamos seguridad absoluta: el texto del certificado es deliberadamente preciso.

Demuestras la propiedad con un registro DNS TXT (o una confirmación manual en planes inferiores). Cada autorización se registra con fecha, hora y alcance.

Un endpoint es un método HTTP + ruta únicos en un proyecto (por ejemplo, GET /users). Los endpoints se suman entre todos tus proyectos; los entornos comparten la misma especificación, así que no multiplican el recuento. Tu panel muestra el uso en vivo (X / Y endpoints) para que siempre sepas dónde estás.

Todos los planes incluyen la suite baseline OWASP API Top 10 y la suite Deep-scan completa. El plan Dev es solo CLI para desarrolladores (sin certificado online ni escaneos programados). El plan Live añade monitorización online continua y una Trust Page pública, pero no CLI/CI-CD. El plan SaaS te da CLI/CI-CD y certificado, además de mapeo de cumplimiento. Hacker mode (AI) empieza en SaaS; Ask mode (el cuestionario de código) empieza en SaaS. Los extras Enterprise (informe SOC 2, SSO, cola prioritaria, SLA) están en Enterprise.

Una prueba de penetración manual es una foto fija: 15.000 USD o más, 2–4 semanas de espera y obsoleta en tu siguiente despliegue. Ejecutamos las mismas clases de ataque OWASP de forma continua —cada despliegue, cada noche— por menos de una décima parte del precio. Úsanos para mantenerte limpio todo el año y trae a humanos una vez al año para lo exótico.

No. Los escaneos estándar son sondas de solo lectura con ritmo prudente, presupuestos estrictos de tiempo/peticiones y un sandbox aislado: no pueden modificar tus datos. Solo Hacker mode (AI) es destructivo, y por eso está totalmente bloqueado en producción y se ejecuta únicamente en dev/staging.

Recibes una alerta en segundos —email, Slack o webhook, tú eliges— con el hallazgo, la evidencia y la corrección. Los hallazgos críticos y altos también pueden bloquear el despliegue mediante nuestro endpoint de veredicto de CI, para que la vulnerabilidad nunca llegue a producción.

Sí. La mejora es instantánea, las bajadas se aplican en el siguiente ciclo de facturación y conservas todos los escaneos y certificados existentes. Los planes de pago incluyen una garantía de devolución de 14 días.