[{"data":1,"prerenderedAt":669},["ShallowReactive",2],{"site-content:es":3,"service-articles:desktop-application-security-assessment:es":659},{"nav":4,"hero":19,"headings":36,"intro":43,"blog":44,"reasonsToHire":64,"coverage":82,"services":97,"engagementFaq":466,"process":486,"about":501,"contact":511,"privacy":563,"cta":656},{"services":5,"training":6,"research":7,"blog":8,"about":9,"contact":10,"menu":11,"close":12,"skip":13,"language":14,"home":15,"privacy":16,"roles":17,"serviceDetails":18},"Servicios","Formación","Trayectoria","Blog","Sobre mí","Contacto","Menú","Cerrar","Ir al contenido","Elegir idioma","Inicio","Privacidad","Puestos y colaboración en investigación","Ver el servicio",{"eyebrow":20,"lines":21,"lead":25,"primary":26,"secondary":27,"readout":28},"Pruebas de penetración para aplicaciones web, móviles y de escritorio",[22,23,24],"Le ayudo a encontrar","las vulnerabilidades de su aplicación","\u003Cem>antes que los atacantes.\u003C\u002Fem>","Pruebo aplicaciones web, móviles y de escritorio, y sus API, en busca de los fallos que los escáneres pasan por alto: control de acceso roto, tratamiento inseguro de datos, errores de lógica de negocio y defectos en código nativo. Trabaja directamente conmigo, desde la definición del alcance hasta la sesión final de resultados.","Solicitar una propuesta","Ver mi trayectoria",{"title":29,"items":30,"note":35},"Un historial público que puede comprobar",[31,32,33,34],"Más de 150 vulnerabilidades de seguridad reportadas","7 vulnerabilidades de Facebook e Instagram reconocidas por Meta","9 parches en la rama principal del kernel de Linux, entre ellos las correcciones de 2 CVE","Creador de Hendra, un escáner DAST sensible al contexto","Trata conmigo desde la primera llamada hasta el informe final. El alcance, el precio y las fechas se acuerdan por escrito antes de empezar.",{"evidence":37,"expertise":38,"work":39,"research":40,"experience":41,"contact":10,"process":42},"Experiencia que puede comprobar","Elija el trabajo que necesita su producto","Vulnerabilidades que he reportado y correcciones que he escrito","El escáner que construí y la investigación que lo respalda","Experiencia en desarrollo y seguridad","De su primera pregunta a un resultado útil","Pruebas de penetración y revisión de seguridad del código para software web, móvil y de escritorio, además de fuzzing, verificación de correcciones y herramientas de seguridad a medida. He reportado más de 150 vulnerabilidades de seguridad y realizo personalmente cada encargo. El alcance, el precio y las fechas se acuerdan por escrito antes de empezar.",{"title":45,"lead":46,"latest":47,"readArticle":48,"allArticles":49,"all":50,"categories":51,"published":55,"updated":56,"author":57,"sources":58,"contents":59,"relatedService":60,"empty":61,"titleLatest":62,"related":63},"Blog de seguridad de aplicaciones","Explicaciones de CVE, patrones de revisión de código y orientación práctica para quienes desarrollan y gestionan software.","Últimos artículos","Leer el artículo","Todos los artículos","Todos",{"cve":52,"guides":53,"news":54},"CVE explicados","Guías prácticas","Actualidad de seguridad","Publicado","Actualizado","Autor","Fuentes","En este artículo","¿Necesita que se compruebe esto en su propio producto?","Todavía no hay artículos en esta categoría.","Cómo analizo vulnerabilidades reales","Lecturas relacionadas",{"title":65,"lead":66,"items":67},"Por qué un investigador que también desarrolla software","Los escáneres informan de síntomas. Yo rastreo cada hallazgo hasta el código que lo provoca y hasta una corrección que sus desarrolladores puedan desplegar.",[68,73,78],{"title":69,"body":70,"evidence":71,"href":72},"Encuentro la causa y escribo la corrección.","Escribí los parches de dos CVE del kernel de Linux y otras siete correcciones que ya están en la rama principal. En su producto, cada hallazgo incluye la ruta en el código, las condiciones que lo desencadenan y una corrección que su equipo puede revisar.","Ver los 9 parches del kernel aceptados","\u002Fresearch#kernel-patches",{"title":74,"body":75,"evidence":76,"href":77},"Desarrollo software, así que mis correcciones encajan en su código.","He dirigido desarrollo web y diseñado un escáner DAST desde su arquitectura. Cuando recomiendo una corrección, ya he pensado en cómo la implementará y probará su equipo.","Ver cómo construí Hendra","\u002Fresearch\u002Fhendra",{"title":79,"body":80,"evidence":26,"href":81},"Quien define su prueba es quien la ejecuta.","Acuerdo el alcance con usted, realizo cada prueba personalmente y repaso cada hallazgo con sus desarrolladores.","\u002Fcontact",{"title":83,"items":84},"Aplicaciones web, móviles y de escritorio, probadas por la misma persona.",[85,89,93],{"title":86,"body":87,"href":88},"Web y API","Autenticación, permisos, flujos sensibles y la aplicación que hay detrás de su API. Es mi área de práctica más sólida y la que prefiero.","\u002Fservices\u002Fweb-application-security-assessment",{"title":90,"body":91,"href":92},"Aplicaciones móviles","La aplicación, sus datos locales y su conexión con los servicios de backend, con los límites de la plataforma y de la API acordados de forma explícita.","\u002Fservices\u002Fmobile-application-security-assessment",{"title":94,"body":95,"href":96},"Software de escritorio y nativo","Código de aplicación, bibliotecas y componentes que procesan entradas no fiables. Proyectos en C, C++ y Java con un alcance centrado en los riesgos que importan.","\u002Fservices\u002Fdesktop-application-security-assessment",[98,131,170,208,244,279,313,346,381,424],{"slug":99,"keywords":100,"type":106,"featured":107,"title":108,"summary":109,"audience":110,"fit":111,"tags":112,"scope":115,"deliverables":119,"faq":124},"application-penetration-testing",[101,102,103,104,105],"pruebas de penetración de aplicaciones","pentester freelance","pentest web móvil y de escritorio","auditoría de seguridad de software","pentest de aplicaciones móviles","application-pentest",true,"Pruebas de penetración de aplicaciones","Descubra cómo las debilidades de su aplicación web, móvil o de escritorio podrían afectar a sus usuarios, a sus datos y a su negocio. Reciba hallazgos confirmados y prioridades claras para corregirlos.","Para responsables de producto, CTO y equipos de desarrollo que preparan un lanzamiento, responden a la solicitud de evaluación de un cliente o quieren revisar un producto existente.","Antes de un lanzamiento, de la revisión de un cliente o de un cambio importante en el producto.",[86,113,114],"Móvil","Escritorio",[116,117,118],"Definir el producto, las versiones, los entornos, los accesos y las pruebas permitidas.","Investigar los vectores de ataque relevantes, los límites de confianza y las funciones sensibles para la seguridad.","Validar los hallazgos y explicar su impacto dentro del alcance acordado.",[120,121,122,123],"Un informe de evaluación con hallazgos confirmados, evidencias y pasos de reproducción.","Prioridades basadas en el producto afectado y en el impacto de cada hallazgo.","Recomendaciones prácticas de corrección y una sesión de revisión con su equipo técnico.","Un registro de las áreas probadas, las limitaciones del alcance y los siguientes pasos acordados.",[125,128],{"question":126,"answer":127},"¿Puede probar aplicaciones web, móviles y de escritorio?","Sí. Comparta el producto, la plataforma y el objetivo. Definiremos los objetivos, los métodos y los accesos adecuados para su aplicación. La seguridad web y de API es mi área de práctica más sólida y la que prefiero.",{"question":129,"answer":130},"¿Y si solo necesitamos revisar una funcionalidad?","Podemos acotar una revisión centrada en un flujo o componente crítico. La propuesta deja claros sus límites para que sepa qué se ha evaluado y qué no.",{"slug":132,"keywords":133,"type":139,"featured":107,"title":140,"summary":141,"audience":142,"fit":143,"tags":144,"scope":148,"deliverables":152,"faq":157},"secure-code-review",[134,135,136,137,138],"revisión de seguridad del código","auditoría de seguridad C C++ Java","auditoría de código fuente","análisis de causa raíz de vulnerabilidades","revisión de código seguro","code-review","Revisión de seguridad del código","Descubra dónde empieza una vulnerabilidad en su código, qué puede alcanzar y cuál es el cambio más pequeño que la corrige.","Para responsables técnicos, responsables de producto y equipos que modifican funcionalidades sensibles, heredan un código ajeno o investigan un hallazgo conocido.","Cuando necesita un análisis de la causa raíz y una corrección práctica.",[145,146,147],"C \u002F C++","Java","Código de aplicación",[149,150,151],"Definir los módulos, los cambios, las dependencias y los flujos de datos relevantes.","Revisar los límites de confianza, los permisos y el tratamiento de las entradas no fiables.","Investigar los hallazgos en su contexto y analizar correcciones que encajen con la arquitectura.",[153,154,155,156],"Hallazgos a nivel de código con las ubicaciones afectadas, evidencias e impacto.","Una explicación de la causa raíz y opciones prácticas de corrección.","Pasos de verificación y una sesión técnica para sus desarrolladores.","El alcance revisado y cualquier limitación de acceso o de validación.",[158,161,164,167],{"question":159,"answer":160},"¿Qué lenguajes y tecnologías revisa?","Trabajo con código de aplicación, incluidos C, C++ y Java, y tengo experiencia en desarrollo con PHP\u002FLaravel, Vue, Node.js y MySQL. Comparta su stack y los objetivos de la revisión para confirmar el alcance adecuado.",{"question":162,"answer":163},"¿Necesita todo el código?","El acceso depende de la pregunta. Incluso una revisión acotada puede requerir código adyacente, información de compilación o pruebas para entender los permisos, las dependencias y el flujo de datos.",{"question":165,"answer":166},"¿Puede la revisión centrarse en una corrección propuesta?","Sí. Podemos examinar si un cambio acordado resuelve la causa original y si introduce problemas relacionados. Cualquier trabajo de implementación se acuerda por separado si es necesario.",{"question":168,"answer":169},"¿Podemos empezar por un solo componente?","Sí. Una revisión acotada de una funcionalidad, un módulo o un cambio crítico puede ser un primer encargo útil. El informe indica esos límites de forma explícita.",{"slug":171,"keywords":172,"type":171,"featured":107,"title":178,"summary":179,"audience":180,"fit":181,"tags":182,"scope":186,"deliverables":190,"faq":195},"fuzzing",[173,174,175,176,177],"fuzzing dirigido","fuzz testing C C++","pruebas de seguridad de analizadores","fuzzing de bibliotecas","análisis de fallos","Fuzzing dirigido","Someta componentes seleccionados a entradas inesperadas, investigue los fallos e identifique debilidades relevantes para la seguridad. Empiece por un objetivo que importe para su producto.","Para equipos que desarrollan analizadores, bibliotecas, SDK, protocolos o componentes de aplicación que procesan entradas no fiables.","Cuando archivos, mensajes o entradas malformados podrían revelar una debilidad.",[183,184,185],"Componentes y bibliotecas","Entradas inesperadas","Análisis de fallos",[187,188,189],"Evaluar la viabilidad del objetivo, los requisitos de compilación, los puntos de entrada y los objetivos de las pruebas.","Configurar y ejecutar el enfoque de pruebas acordado para el componente seleccionado.","Investigar y deduplicar los fallos, minimizar los ejemplos útiles y evaluar su relevancia para la seguridad.",[191,192,193,194],"Una evaluación de viabilidad y un alcance de campaña acordado.","Fallos investigados con ejemplos reproducibles y análisis de seguridad.","Documentación de la configuración y los artefactos de prueba acordados que su equipo puede conservar.","Una sesión sobre los hallazgos, recomendaciones de corrección y propuestas para continuar las pruebas.",[196,199,202,205],{"question":197,"answer":198},"¿Qué hace que un objetivo sea adecuado para el fuzzing?","Un componente con límites de entrada claros y un entorno de compilación o ejecución que podamos ejercitar. Los analizadores, las bibliotecas y los manejadores de protocolos son buenos candidatos. Confirmamos la idoneidad antes de comprometer una campaña.",{"question":200,"answer":201},"¿Podemos empezar con un piloto pequeño?","Sí. Una fase de viabilidad de pago puede determinar si el objetivo es abordable, qué configuración necesita y qué debería incluir una campaña más amplia.",{"question":203,"answer":204},"¿Entregará un harness o una configuración de pruebas reutilizable?","Los artefactos se acuerdan al definir el alcance. Según el objetivo, pueden incluir un harness, entradas semilla, instrucciones de ejecución, reproductores o indicaciones de integración. Se especifican en la propuesta.",{"question":206,"answer":207},"¿Cada caída significa una vulnerabilidad?","No. Los fallos deben investigarse. El informe distingue el comportamiento observado, el impacto de seguridad confirmado y las preguntas abiertas; no promete un número de vulnerabilidades ni de CVE.",{"slug":209,"keywords":210,"type":216,"featured":107,"title":217,"summary":218,"audience":219,"fit":220,"tags":221,"scope":225,"deliverables":229,"faq":234},"remediation-verification",[211,212,213,214,215],"corrección de vulnerabilidades","verificación de correcciones de seguridad","retest de pentest","remediación de hallazgos","asesoramiento de seguridad para desarrolladores","remediation","Corrección y verificación","¿Ya tiene un informe de pentest? Ayudo a su equipo a priorizar los hallazgos, corregirlos y comprobar que las correcciones se mantienen.","Para equipos de producto y de ingeniería que actúan sobre una evaluación, un informe de vulnerabilidades o un cambio de seguridad importante.","Cuando tiene hallazgos y necesita un camino claro para cerrarlos.",[222,223,224],"Prioridades de corrección","Orientación para desarrolladores","Nueva prueba",[226,227,228],"Revisar las evidencias originales, la versión afectada y los cambios propuestos.","Analizar las causas raíz, las opciones de corrección y las prioridades con el equipo responsable.","Verificar las correcciones acordadas frente al problema original y al comportamiento relacionado relevante.",[230,231,232,233],"Un plan práctico de corrección para los hallazgos acordados.","Orientación técnica vinculada al componente o flujo afectado.","Resultados de la verificación que explican qué se ha probado y qué problemas persisten.","Un registro claro de las preguntas abiertas y de los siguientes pasos.",[235,238,241],{"question":236,"answer":237},"¿Puede trabajar con el informe de otro evaluador?","Sí, siempre que haya acceso y evidencias suficientes. Primero determinamos qué muestran los hallazgos originales y qué requiere reproducción, aclaración o verificación.",{"question":239,"answer":240},"¿Implementará usted las correcciones?","La consultoría con los desarrolladores y la verificación pueden acordarse de forma independiente. Cualquier trabajo de implementación o de parches requiere su propia responsabilidad, acceso y criterios de aceptación acordados.",{"question":242,"answer":243},"¿Una nueva prueba superada significa que todo el producto es seguro?","Establece el resultado de las comprobaciones acordadas sobre la versión probada. El informe de verificación indica su alcance y no sustituye a una evaluación de áreas no relacionadas.",{"slug":245,"keywords":246,"type":252,"title":253,"summary":254,"audience":255,"fit":256,"tags":257,"scope":261,"deliverables":265,"faq":269},"web-application-security-assessment",[247,248,249,250,251],"auditoría de seguridad de aplicaciones web","pentest de API","pruebas de autorización","pentest de aplicaciones SaaS","control de acceso roto","web-assessment","Pentest de aplicaciones web y API","¿Puede un cliente leer los datos de otro? Pruebo la autenticación, los roles, el aislamiento entre clientes y la lógica de negocio que los escáneres no pueden modelar.","Para responsables y desarrolladores de productos web, plataformas SaaS y API que preparan un lanzamiento, modifican una funcionalidad sensible o responden a una solicitud de seguridad de un cliente.","Antes de lanzar una funcionalidad web sensible o de abrir una API a los clientes.",[258,259,260],"Autenticación","Autorización","Lógica de negocio",[262,263,264],"Acordar la aplicación, los endpoints de la API, los entornos, las cuentas y los límites de las pruebas.","Revisar la autenticación, la autorización, el tratamiento de entradas y la lógica de negocio relevante.","Validar los vectores de ataque y su impacto dentro del alcance acordado.",[266,267,268],"Hallazgos confirmados con evidencias, pasos de reproducción y justificación de la severidad.","Recomendaciones de corrección vinculadas a la funcionalidad o al código afectado.","Una sesión técnica sobre prioridades, limitaciones y siguientes pasos.",[270,273,276],{"question":271,"answer":272},"¿La evaluación puede incluir API?","Sí. Indique la API, la documentación disponible, los roles de las cuentas y los flujos de la aplicación relacionados. Acordamos qué endpoints e integraciones entran en el alcance.",{"question":274,"answer":275},"¿Puede evaluar una aplicación en producción?","Primero se acuerdan el entorno, las acciones permitidas y los límites operativos. Comparta sus requisitos de disponibilidad y otras restricciones al hablar del alcance.",{"question":277,"answer":278},"¿Puede revisar la lógica de negocio y los permisos?","Sí, siempre que el acceso y el alcance acordados lo permitan. Las reglas del producto, los roles de las cuentas y los flujos sensibles ayudan a definir pruebas útiles.",{"slug":280,"keywords":281,"type":286,"title":287,"summary":288,"audience":289,"fit":290,"tags":291,"scope":295,"deliverables":299,"faq":303},"mobile-application-security-assessment",[282,105,283,284,285],"auditoría de seguridad de aplicaciones móviles","seguridad de API móviles","pentest Android iOS","seguridad de datos en apps móviles","mobile-assessment","Auditoría de seguridad de aplicaciones móviles","Examine las debilidades de seguridad de su producto móvil, cómo trata los datos y cómo interactúa con su backend. Los límites del cliente y de la API se acuerdan antes de las pruebas.","Para responsables de producto móvil y equipos de desarrollo que preparan un lanzamiento, introducen flujos de datos sensibles o necesitan una evaluación independiente para un cliente.","Antes de un lanzamiento móvil o de un cambio en el tratamiento de datos sensibles.",[292,293,294],"Cliente móvil","Datos locales","Límites con el backend",[296,297,298],"Confirmar la plataforma, la versión de la aplicación, los accesos y los servicios de backend incluidos en el alcance.","Examinar el tratamiento de datos relevante, los límites de confianza y las interacciones cliente-servidor.","Validar los hallazgos y distinguir los problemas del cliente de los riesgos del backend.",[300,301,302],"Hallazgos confirmados con los componentes afectados, evidencias y pasos de reproducción.","Orientación práctica para los desarrolladores móviles y de backend responsables de las correcciones.","Una explicación de las áreas probadas, las limitaciones de la plataforma y las preguntas pendientes.",[304,307,310],{"question":305,"answer":306},"¿Qué plataformas móviles puede evaluar?","Indique la plataforma, el framework y los requisitos de compilación. Confirmamos la idoneidad y el enfoque de las pruebas antes de acordar el encargo; la propuesta nombra los objetivos admitidos.",{"question":308,"answer":309},"¿Se incluyen pruebas del backend y de la API?","Solo cuando están explícitamente en el alcance. La evaluación de una aplicación móvil y la de un backend tienen límites relacionados pero distintos, que la propuesta deja claros.",{"question":311,"answer":312},"¿Qué accesos necesita?","Depende del enfoque acordado. Pueden necesitarse las compilaciones pertinentes, cuentas de prueba, datos del entorno y, en el trabajo asistido por el código, partes seleccionadas del código fuente.",{"slug":314,"keywords":315,"type":321,"title":322,"summary":323,"audience":324,"fit":325,"tags":326,"scope":328,"deliverables":332,"faq":336},"desktop-application-security-assessment",[316,317,318,319,320],"auditoría de seguridad de aplicaciones de escritorio","pentest de aplicaciones nativas","seguridad de aplicaciones C C++ Java","seguridad de bibliotecas y SDK","análisis de software nativo","desktop-assessment","Seguridad de aplicaciones de escritorio y nativas","Investigue los riesgos de las aplicaciones de escritorio, las bibliotecas y los componentes nativos. Revise el código y las rutas de entrada donde un defecto podría convertirse en un problema de seguridad.","Para fabricantes de software de escritorio, bibliotecas, SDK y herramientas para desarrolladores que trabajan con C, C++ o Java y con componentes que procesan entradas no fiables.","Al introducir un analizador, un protocolo, una biblioteca o un componente nativo importante.",[145,146,327],"Bibliotecas y rutas de entrada",[329,330,331],"Definir los componentes objetivo, el entorno operativo, los requisitos de compilación y los límites de confianza.","Examinar el código relevante, el procesamiento de entradas y el comportamiento de la aplicación.","Utilizar revisión de código, pruebas dinámicas o fuzzing dirigido, según lo acordado para el objetivo.",[333,334,335],"Hallazgos vinculados al código o al comportamiento afectado, con evidencias reproducibles.","Análisis de la causa raíz y orientación de corrección para los desarrolladores responsables.","Límites de las pruebas, limitaciones de la configuración y siguientes pasos acordados, debidamente documentados.",[337,340,343],{"question":338,"answer":339},"¿Qué tipo de proyectos de escritorio encajan?","Aplicaciones, bibliotecas y componentes con preguntas de seguridad claras, sobre todo en torno a entradas no fiables. Indique el lenguaje, el sistema operativo y los requisitos de compilación para confirmar que encaja.",{"question":341,"answer":342},"¿El fuzzing forma parte de la evaluación?","Puede incluirse cuando es adecuado para el objetivo. Acordamos por separado el trabajo de viabilidad, la campaña y los artefactos, en lugar de suponer que todas las aplicaciones necesitan el mismo enfoque.",{"question":344,"answer":345},"¿Qué trabajo público respalda este servicio?","Mi trabajo público incluye CVE-2024-26855 y CVE-2025-37858 en el kernel de Linux, con correcciones aceptadas upstream. Esos registros muestran un trabajo concreto de investigación y corrección en código nativo.",{"slug":347,"keywords":348,"type":354,"title":355,"summary":356,"audience":357,"fit":358,"tags":359,"scope":362,"deliverables":367,"faq":371},"ai-built-app-security-review",[349,350,351,352,353],"auditoría de seguridad de apps creadas con IA","seguridad del vibe coding","revisión de RLS en Supabase","seguridad de apps hechas con Lovable","seguridad de código generado por IA","ai-app-review","Revisión de seguridad para apps creadas con IA","¿Creó su app con Cursor, Lovable, Bolt o Copilot? Reviso la autenticación, el acceso a datos y las claves de API que el código generado por IA suele hacer mal, antes de que lleguen usuarios y datos reales.","Para fundadores, desarrolladores independientes y equipos pequeños que lanzaron rápido con herramientas de programación con IA y ahora necesitan saber si un usuario puede acceder a los datos de otro.","Antes del lanzamiento, antes de cobrar pagos o antes de incorporar a sus primeros clientes empresariales.",[258,360,361],"Acceso a datos y RLS","Secretos y claves de API",[363,364,365,366],"Revisar el registro, el inicio de sesión, las sesiones y el restablecimiento de contraseña.","Comprobar quién puede leer y modificar los datos de quién, incluidas las reglas por fila y por objeto en Supabase, Firebase o su propia API.","Buscar secretos y claves de API expuestos en el cliente, en el repositorio o en almacenamiento público.","Probar los flujos de pago, webhooks y administración que confían demasiado en el cliente.",[368,369,370],"Una lista de correcciones ordenada por riesgo, con evidencias de cada problema.","El cambio exacto de código, de configuración o de prompt para cada corrección.","Una llamada breve para repasar los resultados.",[372,375,378],{"question":373,"answer":374},"¿Es lo mismo que un escaneo automatizado?","No. Los escáneres y las herramientas de revisión con IA detectan patrones comunes. Yo pruebo la app como lo haría un atacante: me registro, cambio de una cuenta a otra e intento acceder a datos que no son míos.",{"question":376,"answer":377},"¿Qué necesita de mí?","La URL de la app, dos cuentas de prueba con roles distintos y, si es posible, acceso de lectura al repositorio y a la configuración del backend. Por favor, no envíe contraseñas de producción por correo electrónico.",{"question":379,"answer":380},"¿Qué tecnologías cubre?","Apps creadas con herramientas como Cursor, Lovable, Bolt, Replit, v0 o Copilot, normalmente sobre Next.js, React, Supabase, Firebase o una API en Node.js. Cuénteme su stack y le confirmaré si encaja.",{"slug":382,"keywords":383,"type":389,"title":390,"summary":391,"audience":392,"fit":393,"tags":394,"scope":398,"deliverables":403,"faq":408},"appsec-tooling-dast-advisory",[384,385,386,387,388],"desarrollo de herramientas de seguridad","ingeniería SAST DAST","desarrollo de escáneres de vulnerabilidades a medida","evaluación de escáneres DAST","desarrollo de analizadores estáticos","tooling-advisory","Desarrollo de herramientas de seguridad e ingeniería SAST\u002FDAST","Construyo y amplío herramientas SAST y DAST, y evalúo si el escáner que utiliza detecta lo que importa en su stack. La arquitectura, los componentes de detección y la evaluación se ajustan a sus objetivos reales.","Para equipos de productos de seguridad y organizaciones de ingeniería que desarrollan capacidades de análisis, amplían escáneres o evalúan la calidad de sus herramientas de pruebas de seguridad.","Cuando necesita construir, ampliar o evaluar una capacidad de análisis de seguridad.",[395,396,397],"Desarrollo SAST","Ingeniería DAST","Detección y evaluación",[399,400,401,402],"Definir el objetivo del análisis, las tecnologías objetivo, los accesos, las restricciones y los criterios de aceptación.","Diseñar la arquitectura acordada o implementar y ampliar los componentes de análisis, detección o escaneo seleccionados.","Evaluar las capacidades acordadas frente a objetivos representativos, documentando la cobertura, los hallazgos y las limitaciones.","Planificar la integración y la entrega en función del flujo de trabajo del equipo y de sus necesidades de mantenimiento.",[404,405,406,407],"Un plan de ingeniería acotado, con decisiones de arquitectura y criterios de aceptación.","Los diseños acordados o los componentes implementados, con pruebas y documentación técnica.","Un método de evaluación reproducible y sus resultados para los objetivos acordados.","Una entrega técnica que cubre la integración, las limitaciones y el desarrollo futuro.",[409,412,415,418,421],{"question":410,"answer":411},"¿Desarrolla herramientas de seguridad?","Sí. Diseño y desarrollo aplicaciones SAST y DAST. Un encargo puede abarcar la arquitectura, componentes de detección concretos, extensiones, la integración o la evaluación. La propuesta define las tecnologías objetivo y lo que se entregará.",{"question":413,"answer":414},"¿Qué ha construido?","Hendra es mi escáner DAST modular y sensible al contexto, desarrollado durante mi investigación doctoral, ya completada, en la Universidad ITMO. Diseñé su arquitectura central, la identificación de tecnologías, la planificación de escaneos, la deduplicación de solicitudes, la revisión de hallazgos y el enfoque de benchmarking.",{"question":416,"answer":417},"¿Puede ampliar una herramienta existente?","Sí, siempre que su arquitectura, el acceso y la licencia permitan el trabajo acordado. Primero establecemos los puntos de extensión, el comportamiento requerido y las pruebas de la capacidad objetivo.",{"question":419,"answer":420},"¿Qué lenguajes puede cubrir un proyecto SAST?","La cobertura de lenguajes se define en cada proyecto. Antes de acordar el desarrollo revisamos el lenguaje objetivo, la infraestructura de análisis disponible, los patrones de código y los casos de evaluación. La cobertura y las limitaciones quedan documentadas.",{"question":422,"answer":423},"¿Puede evaluar una herramienta antes de invertir en desarrollo?","Sí. Una evaluación acotada puede examinar el comportamiento de detección, la cobertura útil, el esfuerzo de triaje y las restricciones de integración. Los benchmarks de laboratorio publicados aportan contexto; la evaluación necesita objetivos y criterios relevantes para su equipo.",{"slug":425,"type":426,"title":427,"summary":428,"audience":429,"fit":430,"keywords":431,"tags":439,"scope":443,"deliverables":448,"faq":453},"secure-software-engineering","software-engineering","Desarrollo de software y sitios web a medida","Haga realidad su idea: un portafolio, un sitio web corporativo, una aplicación o un sistema completo. Diseño la arquitectura, desarrollo el producto y conecto los servicios que necesita, con hitos claros y una entrega práctica.","Para particulares, empresarios, fundadores y equipos que crean sitios web, portafolios, aplicaciones web, móviles o de escritorio, sistemas de gestión, API e integraciones, o que quieren mejorar un producto existente.","Desde un portafolio personal hasta una plataforma empresarial compleja. El proyecto determina la tecnología y el alcance.",[432,433,434,435,436,437,438],"desarrollador de software freelance","desarrollo de aplicaciones a medida","desarrollo de sitios web","desarrollo de portafolio web","desarrollo de sistemas empresariales","aplicaciones web móviles y de escritorio","arquitectura de software",[440,441,442],"Sistemas y aplicaciones","Sitios web y portafolios","Arquitectura",[444,445,446,447],"Definir usuarios, flujos de trabajo, restricciones, integraciones y criterios de aceptación.","Planificar interfaces, arquitectura, flujos de datos e integraciones, con la seguridad adecuada al producto.","Diseñar e implementar los componentes acordados en hitos revisables.","Probar el comportamiento acordado y documentar el despliegue, la operación y la entrega.",[449,450,451,452],"Un plan de proyecto y una arquitectura adecuados a su producto.","El código fuente, las pruebas y los artefactos de integración acordados.","Demostraciones por hito frente a los criterios de aceptación acordados.","Documentación y una entrega técnica para su equipo.",[454,457,460,463],{"question":455,"answer":456},"¿Qué puede desarrollar?","Sitios web, portafolios, aplicaciones web, móviles y de escritorio, sistemas de gestión, API e integraciones. El encargo puede abarcar la arquitectura, la implementación o ambas. Antes de empezar acordamos la tecnología, la funcionalidad y qué se considera una entrega satisfactoria.",{"question":458,"answer":459},"¿Puede incorporarse a un proyecto en curso?","Sí. Una primera fase acotada puede analizar el código, la arquitectura y los bloqueos inmediatos antes de comprometer hitos de implementación. También puede centrarse en un único componente crítico.",{"question":461,"answer":462},"¿Se incluye una evaluación de seguridad independiente?","El desarrollo incluye los requisitos y las pruebas de seguridad acordados. Una evaluación con alcance propio puede examinar otros vectores de ataque y genera su propio informe; sus límites se acuerdan de forma explícita.",{"question":464,"answer":465},"¿Cómo controlamos el alcance y el presupuesto?","Empiece con una fase de análisis o de implementación bien definida. Acuerde entregables, criterios de aceptación, precio y calendario antes de empezar, y revise cualquier cambio propuesto antes de añadirlo al proyecto.",[467,471,474,477,480,483],{"question":468,"answer":469,"assessmentOnly":470},"¿Con qué rapidez responde?","En un plazo máximo de tres días. Recibirá preguntas sobre su producto o un esbozo de la propuesta.",false,{"question":472,"answer":473,"assessmentOnly":470},"¿Cuánto cuesta?","Los precios publicados son precios de partida. El precio final depende del alcance y de la complejidad técnica, y se fija en la propuesta escrita antes de empezar.",{"question":475,"answer":476,"assessmentOnly":470},"¿Cuánto dura y cuándo puede empezar?","La duración y la fecha de inicio dependen del alcance, de la complejidad técnica y de mi carga de trabajo. La propuesta indica las fechas.",{"question":478,"answer":479,"assessmentOnly":470},"¿Podemos trabajar con un NDA?","Sí. Las condiciones de confidencialidad, incluido un NDA si lo necesita, se acuerdan en la propuesta antes de que comparta código, credenciales o hallazgos.",{"question":481,"answer":482,"assessmentOnly":107},"¿Incluye una nueva prueba?","La nueva prueba se acuerda para cada encargo en la propuesta: qué hallazgos, qué versión y en qué plazo.",{"question":484,"answer":485,"assessmentOnly":107},"¿Trabaja con agencias?","Sí. Las agencias pueden contar conmigo para el proyecto de un cliente. Las condiciones de entrega, incluidos los informes de marca blanca, se acuerdan caso por caso en la propuesta.",{"title":487,"steps":488},"Cómo se desarrolla un encargo",[489,492,495,498],{"title":490,"body":491},"Envíe un breve resumen","El producto, qué ha cambiado, qué necesita saber y para cuándo. Basta con un párrafo; respondo en un plazo de tres días.",{"title":493,"body":494},"Reciba una propuesta por escrito","Alcance, metodología, exclusiones, entregables, precio y fechas. La confidencialidad, el NDA y las condiciones de la nueva prueba se acuerdan en la misma propuesta.",{"title":496,"body":497},"Siga el trabajo a medida que avanza","En las evaluaciones, verá las evidencias y las prioridades a medida que surgen. En los proyectos de desarrollo, revisará los hitos acordados.",{"title":499,"body":500},"Informe y sesión de resultados","Recibe el informe o el trabajo entregado y una sesión de revisión con su equipo. Cualquier corrección o verificación posterior se acuerda con usted.",{"title":502,"lead":503,"paragraphs":504},"Encuentro vulnerabilidades y escribo las correcciones.","Soy Rand Deeb, ingeniero principal de seguridad de aplicaciones e investigador de seguridad independiente. He reportado más de 150 vulnerabilidades de seguridad, escribí las correcciones de dos CVE del kernel de Linux y construí el escáner DAST Hendra. Pruebo aplicaciones web y API para equipos de producto y hago el trabajo personalmente.",[505,506,507,508,509,510],"Mi experiencia como desarrollador full-stack me ayuda a entender cómo está construida una funcionalidad y cómo afectará una corrección al resto de la aplicación. Combino esa perspectiva con las pruebas de seguridad, la revisión de código y la investigación de vulnerabilidades.","También diseño y desarrollo aplicaciones de seguridad para análisis estático (SAST) y pruebas dinámicas (DAST). Este trabajo une la arquitectura de software, la lógica de detección y la evaluación reproducible, una experiencia que puedo aplicar a un proyecto acotado de desarrollo o ampliación de herramientas.","En Confident, mi trabajo de ingeniería abarca SAST, DAST, C++ e ingeniería de seguridad. Anteriormente trabajé en desarrollo web y seguridad web en Momento.","Meta ha validado y reconocido siete vulnerabilidades de seguridad que reporté en Facebook e Instagram. En el código del kernel de Linux he analizado más de 300 informes de análisis estático y he contribuido con nueve parches. Mi trabajo incluye además dos CVE publicados, CVE-2024-26855 y CVE-2025-37858, con correcciones aceptadas en la rama principal de Linux. La corrección del controlador ice se retroportó a las ramas estables. Los registros de los CVE y las correcciones enlazadas están disponibles para que los examine.","Hendra es un ejemplo concreto: un escáner DAST modular y sensible al contexto que desarrollé durante mi proyecto de investigación doctoral, ya completado, en la Universidad ITMO. Diseñé su arquitectura central y los componentes de identificación de tecnologías, planificación de escaneos, deduplicación de solicitudes, revisión de hallazgos y benchmarking. Mis publicaciones examinan los métodos en los que se basa este trabajo.","Si está preparando un lanzamiento o respondiendo a la revisión de seguridad de un cliente, envíeme un breve resumen.",{"title":26,"lead":512,"labels":513,"types":532},"Cuénteme qué va a lanzar, qué necesita saber y para cuándo. Respondo en un plazo de tres días con preguntas o un esbozo de propuesta. Si necesita un NDA antes de compartir detalles, indíquelo.",{"name":514,"email":515,"company":516,"type":517,"message":518,"consent":519,"source":520,"submit":26,"sending":521,"success":522,"successBody":523,"successArticle":524,"error":525,"privacyNote":526,"scopeNote":527,"unavailable":528,"emailInstead":529,"retry":530,"trainingNote":531},"Nombre","Correo electrónico","Empresa o equipo (opcional)","¿Qué necesita?","¿Qué debo probar y por qué ahora?","Acepto el tratamiento de mi consulta y de mis datos de contacto tal como se describe en el aviso de privacidad.","¿Cómo me conoció? (opcional)","Enviando…","Gracias. Su solicitud me ha llegado.","Responderé a la dirección de correo electrónico que ha indicado en un plazo de tres días. Mientras tanto, puede consultar mi trayectoria o leer cómo elegir entre un pentest y una revisión de código.","Pentest o revisión de código: ¿qué necesita?","No se ha podido enviar su consulta. Vuelva a intentarlo o utilice otro canal de contacto disponible.","Rand Deeb, con sede en Rusia, utiliza sus datos para responderle y hablar de su proyecto. El formulario envía su mensaje por correo electrónico. Si no surge ningún proyecto, la correspondencia se elimina 12 meses después de nuestro último contacto. Consulte el aviso de privacidad para conocer sus derechos.","No incluya secretos en este formulario: las contraseñas, los tokens, el código fuente y los hallazgos no publicados pueden enviarse más adelante, bajo NDA si lo necesita.","El formulario no está disponible temporalmente. Envíe los detalles de su proyecto directamente por correo electrónico.","Enviar la consulta por correo electrónico","Volver a intentar con el formulario","Para la formación, indique el curso, su nivel actual y lo que quiere ser capaz de hacer; las sesiones se imparten en inglés. Si la formación la patrocina su empresa, indique cuántos ingenieros participarían y qué lenguajes o frameworks utilizan.",[533,534,535,537,539,541,542,543,545,547,550,552,555,558,561],{"value":106,"label":108},{"value":252,"label":253},{"value":286,"label":536},"Auditoría de aplicaciones móviles",{"value":321,"label":538},"Auditoría de escritorio \u002F nativa",{"value":354,"label":540},"Revisión de seguridad de una app creada con IA",{"value":139,"label":140},{"value":171,"label":178},{"value":216,"label":544},"Corrección \u002F verificación de correcciones",{"value":389,"label":546},"Desarrollo de herramientas de seguridad \u002F SAST y DAST",{"value":548,"label":549},"agency","Proyecto de agencia o de socio",{"value":426,"label":551},"Desarrollo de software \u002F sitio web \u002F portafolio",{"value":553,"label":554},"training-course","Formación: curso individual",{"value":556,"label":557},"training-company","Formación: patrocinada por mi empresa",{"value":559,"label":560},"other","Ayúdeme a elegir \u002F otra consulta",{"value":562,"label":17},"roles-research",{"title":564,"lead":565,"updatedLabel":566,"updatedDate":567,"contentsLabel":568,"contactLabel":569,"sections":570},"Aviso de privacidad","Cómo trato su consulta, la información que se recoge cuando visita este sitio y las opciones de que dispone.","Última actualización","7 de octubre de 2026","En esta página","Escríbame sobre sus datos",[571,578,586,600,614,621,629,636,650],{"id":572,"title":573,"paragraphs":574,"links":577},"operator","Quién es el responsable",[575,576],"Soy Rand Deeb, ingeniero de software y especialista en seguridad independiente con sede en Rusia. Gestiono rand-deeb.com y soy responsable de la información personal que utilizo para atender las consultas recibidas a través de este sitio web.","Si tiene una pregunta sobre privacidad o una solicitud relativa a su información, escriba a contact@rand-deeb.com. Este aviso abarca el sitio web y las consultas iniciales. Un proyecto con un cliente puede requerir un acuerdo independiente que regule el material confidencial y los datos del proyecto.",[],{"id":579,"title":580,"paragraphs":581,"links":585},"enquiries","Cuando se pone en contacto conmigo",[582,583,584],"El formulario recoge su nombre, su dirección de correo electrónico, el servicio seleccionado, su mensaje, el idioma y la confirmación de que acepta el tratamiento de su consulta. El nombre de su empresa o equipo y su respuesta a «¿Cómo me conoció?» son opcionales. Junto con la consulta, el formulario envía también la primera página que abrió en este sitio, incluidas las etiquetas de campaña de su dirección, y el dominio del sitio web que le trajo hasta aquí. Su navegador conserva estos dos datos en el almacenamiento de sesión hasta que cierra la pestaña; no se envían a ninguna parte salvo que envíe el formulario. Utilizo estos datos para entender su solicitud, ver qué páginas y enlaces generan consultas, hablar del alcance y del precio, y responderle.","Usted decide si se pone en contacto conmigo. Los campos obligatorios me permiten tramitar el envío del formulario; sin ellos, no puede enviarse. También puede utilizar el enlace de correo electrónico. Enviar una consulta no le suscribe a ninguna lista de correo.","Limite el primer mensaje a una breve descripción de su proyecto. No envíe contraseñas, tokens de acceso, código fuente confidencial ni detalles de vulnerabilidades no divulgadas. Podemos acordar un NDA y un canal de intercambio adecuado antes de compartir material sensible.",[],{"id":587,"title":588,"paragraphs":589,"links":593},"hosting","Alojamiento, correo electrónico y otros servicios",[590,591,592],"El sitio web, alojado en Vercel, procesa su conexión para servir las páginas y recibir los envíos del formulario. La información técnica incluye su dirección IP, la página solicitada, la hora de la solicitud y datos del navegador o del dispositivo. Se utiliza para hacer funcionar el sitio, diagnosticar problemas y protegerlo frente a abusos.","Los envíos correctos del formulario se reenvían a mi bandeja de entrada mediante un servicio de entrega de correo. Los proveedores de correo procesan el mensaje para entregarlo y almacenarlo. El sitio web no mantiene una base de datos propia con los mensajes de consulta. Los servicios de alojamiento y de correo pueden tratar información fuera de su país, incluso fuera de Rusia y del Espacio Económico Europeo.","Telegram, LinkedIn y otros enlaces externos le llevan a servicios independientes. Estos reciben información cuando los utiliza y tienen sus propias condiciones de privacidad. El formulario de contacto no envía automáticamente su mensaje a Telegram. La grabación de la entrevista y las fotos de conferencias se sirven desde este sitio web, no a través de un reproductor integrado de redes sociales.",[594,597],{"label":595,"href":596},"Aviso de privacidad de Vercel","https:\u002F\u002Fvercel.com\u002Flegal\u002Fprivacy-notice",{"label":598,"href":599},"Política de privacidad de Telegram","https:\u002F\u002Ftelegram.org\u002Fprivacy",{"id":601,"title":602,"paragraphs":603,"links":607},"measurement","Recuento de visitas y rendimiento",[604,605,606],"En Vercel, Web Analytics mide las visitas y las páginas vistas, y Speed Insights mide la velocidad de carga, la estabilidad visual y la capacidad de respuesta. Los informes me ayudan a ver qué contenido resulta útil y en qué aspectos debe mejorar el sitio.","Las mediciones incluyen las direcciones de las páginas, los sitios de procedencia, datos del navegador y del dispositivo, la ubicación aproximada y los tiempos de rendimiento. Speed Insights recibe además información de la conexión y datos de diagnóstico sobre los elementos de la página. Vercel describe estos informes como agregados o anónimos; Web Analytics no utiliza cookies analíticas.","Los campos y el mensaje del formulario no se envían como eventos analíticos personalizados. No utilizo píxeles publicitarios, grabaciones de sesión ni decisiones automatizadas sobre si trabajar con un cliente. Los bloqueadores de contenido del navegador pueden impedir que se carguen los scripts de medición.",[608,611],{"label":609,"href":610},"Vercel Web Analytics: datos recogidos","https:\u002F\u002Fvercel.com\u002Fdocs\u002Fanalytics\u002Fprivacy-policy",{"label":612,"href":613},"Vercel Speed Insights: datos recogidos","https:\u002F\u002Fvercel.com\u002Fdocs\u002Fspeed-insights\u002Fprivacy-policy",{"id":615,"title":616,"paragraphs":617,"links":620},"language","Su preferencia de idioma",[618,619],"La cookie llamada i18n_redirected recuerda el idioma que ha elegido durante un máximo de un año. En su primera visita a la página de inicio se utiliza el idioma del navegador si está disponible; de lo contrario, el sitio se abre en inglés. Puede cambiar de idioma en cualquier momento.","Esta cookie sirve para seleccionar el idioma, no para seguir a los visitantes. Puede eliminarla desde la configuración de su navegador. El sitio web utiliza fuentes alojadas localmente; leer una página no requiere ninguna solicitud a Google Fonts.",[],{"id":622,"title":623,"paragraphs":624,"links":628},"retention","Cuánto tiempo conservo la información",[625,626,627],"Si una consulta no se convierte en un proyecto, elimino la correspondencia de mi bandeja de entrada activa 12 meses después de nuestro último contacto. Se trata de una política de limpieza de la bandeja de entrada; el sitio web no elimina correos automáticamente.","Si trabajamos juntos, la correspondencia del proyecto y los documentos contractuales se conservan durante el proyecto y durante el tiempo que exijan las obligaciones de conservación de registros o las posibles reclamaciones legales. Los registros de alojamiento, los informes de medición y las copias de seguridad del proveedor de correo siguen la configuración de conservación de cada proveedor. Eliminar un mensaje de la bandeja de entrada no borra de inmediato todas las copias de seguridad del proveedor.","Puede solicitar la supresión antes de que transcurran los 12 meses. Si necesito conservar determinada información por una obligación legal o una reclamación en curso, le explicaré qué debe conservarse y por qué.",[],{"id":630,"title":631,"paragraphs":632,"links":635},"rights","Acceso, rectificación y supresión",[633,634],"Escriba a contact@rand-deeb.com para saber qué información tengo sobre usted, rectificarla, solicitar su supresión o retirar el consentimiento para los tratamientos basados en él. Si quiere que deje de hacer seguimiento de una consulta, indíquelo en su mensaje.","Según la legislación aplicable, también puede tener derecho a limitar el tratamiento, oponerse a él o recibir su información en un formato portable. Puedo pedirle la información necesaria para verificar la solicitud, sin recopilar documentos de identidad innecesarios. La retirada del consentimiento no afecta a la licitud del tratamiento realizado antes de dicha retirada.",[],{"id":637,"title":638,"paragraphs":639,"links":643},"regional-rights","Derechos según su ubicación",[640,641,642],"Rusia: cuando se aplique la Ley Federal n.º 152-FZ, puede solicitar información sobre el tratamiento de sus datos personales y pedir su rectificación, bloqueo o supresión en los supuestos previstos por dicha ley. Puede presentar una reclamación ante Roskomnadzor o acudir a la vía judicial.","UE y EEE: cuando se aplique el RGPD, las conversaciones sobre un proyecto que usted solicita se basan en la aplicación de medidas precontractuales adoptadas a petición suya; la correspondencia general y la seguridad del sitio se basan en el interés legítimo de responder a las consultas y de mantener un sitio web seguro. Los tratamientos que requieren consentimiento deben contar con él. Usted dispone de los derechos que le reconoce el RGPD y puede presentar una reclamación ante la autoridad de control de su país. Las solicitudes basadas en el RGPD se responden normalmente en el plazo de un mes, prorrogable cuando el reglamento lo permite.","Su ubicación y las circunstancias del tratamiento determinan qué derechos y normas se aplican. El idioma que elija en este sitio no cambia esto. Los visitantes de otros lugares pueden ponerse en contacto conmigo sobre su información y sobre los derechos que les reconozca su legislación local.",[644,647],{"label":645,"href":646},"Portal de datos personales de Roskomnadzor","https:\u002F\u002Fpd.rkn.gov.ru\u002F",{"label":648,"href":649},"Autoridades europeas de protección de datos","https:\u002F\u002Fwww.edpb.europa.eu\u002Fabout-edpb\u002Fabout-edpb\u002Fmembers_en",{"id":651,"title":652,"paragraphs":653,"links":655},"changes","Cambios en este aviso",[654],"Actualizo este aviso cuando cambia el tratamiento de datos del sitio web. La fecha indicada arriba identifica esta versión. Antes de utilizar la información de una consulta para un fin distinto, le facilitaré la información correspondiente y obtendré el consentimiento que dicho uso requiera.",[],{"title":657,"body":658,"label":26},"¿Va a lanzar algo que trata datos de usuarios?","Envíeme un breve resumen. Respondo en un plazo de tres días con preguntas o un esbozo de propuesta, y el precio se acuerda por escrito antes de empezar.",[660,663,666],{"slug":661,"title":662},"cve-2026-109618-php2shell","PHP2Shell: CVE-2026-109618 y el límite del runtime",{"slug":664,"title":665},"ghostaction-git-history-secret-rotation","GhostAction: borrar un secreto no es revocarlo",{"slug":667,"title":668},"lmcache-cve-2026-105192-deserialization-review","LMCache CVE-2026-105192: ejecución antes del rechazo",1792901317272]