Generador de alcance de pruebas de penetración
Convierte un breve cuestionario en un alcance y una RFP completos para una prueba de penetración, listos para copiar o descargar en Markdown.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un alcance de prueba de penetración es el acuerdo escrito de qué puede y qué no puede tocar exactamente quien hace la prueba, y de él depende todo lo demás: el precio, la profundidad de la prueba, la utilidad del informe y si sirve como evidencia de cumplimiento. Este generador en el navegador convierte un breve cuestionario en un alcance y una RFP completos que puedes copiar o descargar como Markdown. Eliges los tipos de objetivo (aplicación web, API, red externa e interna, nube AWS, móvil, inalámbrica, ingeniería social), la metodología de caja negra, gris o blanca, los entornos y el motivo de cumplimiento (PCI DSS, SOC 2, ISO 27001 o ninguno). Recoge las reglas de intervención que te protegen (ventana de pruebas, límites de tasa, acciones prohibidas, gestión fuera de banda de los hallazgos críticos y un bloque de autorización firmada) e incluye las preguntas que conviene hacer a un proveedor de pruebas de penetración (metodología, certificaciones como OSCP o CREST, política de nuevas pruebas, formato del informe y tratamiento de los datos) para comparar ofertas con justicia. Un preajuste de AWS rellena el alcance específico de la nube (IAM, S3, grupos de seguridad y una prueba de compromiso asumido). Todo se ejecuta en el lado del cliente y no se sube nada. El documento es una plantilla, no asesoramiento legal ni contractual. Es una herramienta Pro.
- Elige los tipos de objetivo, la metodología (caja negra, gris o blanca), los entornos y el motivo de cumplimiento; para la nube, usa el preajuste de AWS.
- Define las reglas de intervención: ventana de pruebas, límites de tasa, acciones prohibidas y escalado fuera de banda de los hallazgos críticos.
- Revisa las preguntas para los proveedores y el bloque de autorización firmada.
- Copia o descarga el alcance y la RFP en Markdown, revísalos con un asesor cualificado y obtén la autorización escrita del propietario de cada activo antes de empezar.
Preguntas frecuentes
¿Qué es el alcance de una prueba de penetración?
Es la definición escrita de lo que exactamente puede y no puede hacer quien realiza la prueba: qué sistemas están dentro del alcance (URL, nombres de host, rangos de IP, aplicaciones o cuentas en la nube concretas), cuáles quedan explícitamente fuera, la metodología (caja negra, gris o blanca), el entorno (producción, staging o desarrollo), la ventana de pruebas y los límites de tasa, las acciones prohibidas y cómo se reportan los hallazgos y se autoriza el trabajo. Un alcance claro convierte un informal «échale un vistazo a nuestra app» en un trabajo seguro y repetible cuyos resultados puedes aplicar y defender ante un auditor.
¿Por qué el alcance decide el coste y la calidad de una prueba?
Las pruebas de penetración se venden por esfuerzo (días de prueba más informe), así que el alcance es el mayor factor tanto del precio como del valor. Un alcance demasiado vago obliga a los proveedores a inflar sus estimaciones ante la incertidumbre, produce ofertas que no puedes comparar y a menudo lleva a una prueba superficial que no toca los sistemas que de verdad te importaban. Un alcance preciso en objetivos, metodología, credenciales y objetivos permite dedicar las horas a profundidad y no a descubrir, comparar presupuestos en igualdad de condiciones y que el informe final encaje con las decisiones y las evidencias de cumplimiento. Definir bien el alcance antes de hablar con proveedores es lo de mayor impacto que puede hacer un comprador.
¿Qué diferencia hay entre caja negra, gris y blanca?
Describen cuánto sabe quien hace la prueba al empezar. Caja negra significa sin conocimiento previo, sin credenciales y sin documentación: simula a un atacante externo que parte de cero; es lo más realista para la exposición perimetral, pero el uso menos eficiente de un presupuesto fijo, porque el tiempo se va en reconocimiento. Caja gris da información limitada y credenciales de usuario estándar, simulando una cuenta comprometida o un insider malicioso; es el equilibrio habitual entre realismo y cobertura. Caja blanca da información completa (arquitectura, código fuente cuando procede y acceso de administrador), lo que maximiza la profundidad y la cobertura por hora y encaja con una revisión a fondo de una aplicación concreta. Muchos trabajos los combinan: caja negra contra el perímetro y gris o blanca contra la aplicación que hay detrás.
¿Qué son las reglas de intervención y por qué importan?
Son las salvaguardas operativas que mantienen la prueba segura y lícita: la ventana de pruebas autorizada y su zona horaria, los límites de tasa e intensidad que protegen la estabilidad de producción, las acciones explícitamente prohibidas (denegación de servicio, destruir o exfiltrar datos reales, intrusión física o pivotar fuera del alcance), los canales de comunicación y los contactos, cómo se escalan fuera de banda los hallazgos sensibles y una autorización escrita firmada por el propietario de los activos probados. Importan porque una prueba no autorizada puede ser ilegal y porque una prueba sin salvaguardas puede causar una caída o una pérdida de datos: las reglas de intervención permiten a ambas partes avanzar con confianza.
¿En qué cambia el alcance de una prueba en AWS o en la nube?
La prueba en la nube trata menos de romper un perímetro de red y más de configuración e identidad. En AWS, un buen alcance nombra los ID de cuenta y las regiones y se centra en los roles y políticas de IAM (confianza demasiado permisiva, rutas de escalada de privilegios), la exposición de recursos (buckets S3 públicos, grupos de seguridad abiertos, balanceadores expuestos a internet) y un escenario de compromiso asumido en el que se da a quien prueba un conjunto de credenciales estándar o una carga de trabajo comprometida y se le pide ver hasta dónde llega. Confirma también lo que permite tu proveedor de nube: la mayoría permite ya probar tus propios recursos sin aprobación previa, pero ciertas pruebas disruptivas y servicios gestionados por el proveedor siguen vetados. El preajuste de AWS de la herramienta rellena esos elementos para que partas de una base sensata.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.