Para fundadores, desarrolladores independientes y equipos pequeños que lanzaron rápido con herramientas de programación con IA y ahora necesitan saber si un usuario puede acceder a los datos de otro.

Antes del lanzamiento, antes de cobrar pagos o antes de incorporar a sus primeros clientes empresariales.

Qué examinamos

Revisar el registro, el inicio de sesión, las sesiones y el restablecimiento de contraseña.
Comprobar quién puede leer y modificar los datos de quién, incluidas las reglas por fila y por objeto en Supabase, Firebase o su propia API.
Buscar secretos y claves de API expuestos en el cliente, en el repositorio o en almacenamiento público.
Probar los flujos de pago, webhooks y administración que confían demasiado en el cliente.

Cómo se desarrolla un encargo

Envíe un breve resumen

El producto, qué ha cambiado, qué necesita saber y para cuándo. Basta con un párrafo; respondo en un plazo de tres días.

Reciba una propuesta por escrito

Alcance, metodología, exclusiones, entregables, precio y fechas. La confidencialidad, el NDA y las condiciones de la nueva prueba se acuerdan en la misma propuesta.

Siga el trabajo a medida que avanza

En las evaluaciones, verá las evidencias y las prioridades a medida que surgen. En los proyectos de desarrollo, revisará los hitos acordados.

Informe y sesión de resultados

Recibe el informe o el trabajo entregado y una sesión de revisión con su equipo. Cualquier corrección o verificación posterior se acuerda con usted.

Vulnerabilidades de seguridad que he reportado

He reportado más de 150 vulnerabilidades de seguridad, entre ellas siete en Facebook e Instagram que Meta validó y reconoció. Su aplicación recibe la misma mirada de atacante: autenticación, permisos y la lógica de negocio que los une.

Ver la trayectoria

Preguntas antes de empezar

¿Es lo mismo que un escaneo automatizado?

No. Los escáneres y las herramientas de revisión con IA detectan patrones comunes. Yo pruebo la app como lo haría un atacante: me registro, cambio de una cuenta a otra e intento acceder a datos que no son míos.

¿Qué necesita de mí?

La URL de la app, dos cuentas de prueba con roles distintos y, si es posible, acceso de lectura al repositorio y a la configuración del backend. Por favor, no envíe contraseñas de producción por correo electrónico.

¿Qué tecnologías cubre?

Apps creadas con herramientas como Cursor, Lovable, Bolt, Replit, v0 o Copilot, normalmente sobre Next.js, React, Supabase, Firebase o una API en Node.js. Cuénteme su stack y le confirmaré si encaja.

¿Con qué rapidez responde?

En un plazo máximo de tres días. Recibirá preguntas sobre su producto o un esbozo de la propuesta.

¿Cuánto cuesta?

Los precios publicados son precios de partida. El precio final depende del alcance y de la complejidad técnica, y se fija en la propuesta escrita antes de empezar.

¿Cuánto dura y cuándo puede empezar?

La duración y la fecha de inicio dependen del alcance, de la complejidad técnica y de mi carga de trabajo. La propuesta indica las fechas.

¿Podemos trabajar con un NDA?

Sí. Las condiciones de confidencialidad, incluido un NDA si lo necesita, se acuerdan en la propuesta antes de que comparta código, credenciales o hallazgos.

¿Incluye una nueva prueba?

La nueva prueba se acuerda para cada encargo en la propuesta: qué hallazgos, qué versión y en qué plazo.

¿Trabaja con agencias?

Sí. Las agencias pueden contar conmigo para el proyecto de un cliente. Las condiciones de entrega, incluidos los informes de marca blanca, se acuerdan caso por caso en la propuesta.

Revisión de seguridad para apps creadas con IA