El informe preliminar P0 se entrega sin costo. Para una campaña a consulta, acordamos un onboarding que cubre el alcance y la puesta en marcha. El componente principal del honorario depende de hallazgos válidos, nuevos, reproducibles y dentro del alcance.
Cómo funciona
- Acordamos activos, exclusiones y reglas antes de cualquier visita directa o prueba.
- Fijamos la tabla de recompensas y los criterios de aceptación en el contrato, junto con un presupuesto máximo mensual o por campaña.
- Revisamos dentro del alcance autorizado, con límites de tráfico y horario acordados.
- Reportamos con evidencia mínima y pasos de reproducción seguros. Los hallazgos críticos se avisan de inmediato, incluso si existe una controversia económica.
- Tienes un plazo breve para aceptar u objetar cada hallazgo.
- El retest se ejecuta solo con autorización vigente.
Severidad
La severidad técnica por sí sola no equivale al riesgo de tu negocio.
- CriticalCompromiso sistémico, acceso masivo, ejecución remota o bypass completo de autenticación
- HighToma de cuentas, privilegios elevados o acceso relevante a información sensible
- MediumImpacto real pero acotado o con precondiciones importantes
- LowImpacto menor y demostrable
- InformationalRecomendación sin vulnerabilidad explotable acreditada. No genera pago
Cómo se calcula y por qué no ves precios acá
Usamos CVSS 4.0 como insumo y lo combinamos con explotabilidad, exposición, sensibilidad de los datos, alcance afectado, impacto operativo y controles compensatorios existentes.
El monto por severidad es una decisión comercial que depende del alcance, de la criticidad de los activos y del presupuesto que definas. Publicar una cifra genérica daría una precisión falsa. La tabla se acuerda por escrito antes de comenzar y no se modifica a mitad de campaña.
Reglas de aceptación
- un hallazgo que ya conocías antes de empezar no genera recompensa
- un duplicado no se paga dos veces
- varios endpoints con una misma causa raíz suelen constituir un solo hallazgo
- una cadena de fallas puede pagarse como un hallazgo, según su impacto final
- una versión antigua sin impacto demostrado no basta
- ninguna de las partes fija unilateralmente la severidad cuando hay controversia
Límites, disputas y tamaño
Límites y suspensión
El contrato define un presupuesto máximo y los gatillos de suspensión. Puedes revocar la autorización en cualquier momento: eso impide nuevas acciones sin borrar el historial de auditoría, y los hallazgos obtenidos antes de la revocación siguen el tratamiento económico acordado.
El pago no queda condicionado a que decidas remediar. Tampoco retenemos información técnica como presión de cobro: si encontramos algo crítico, lo sabes de inmediato.
Disputas
Las controversias técnicas se resuelven con un mecanismo independiente acordado antes de empezar. Dejarlo escrito de antemano es más barato que discutirlo con un hallazgo Critical sobre la mesa.
Empresas chicas y grandes
Para una PYME recomendamos alcance acotado y límite mensual bajo: cubre lo que efectivamente está expuesto sin comprometer caja. Para una empresa grande, una orden anual puede distribuir presupuesto y límites por aplicación o unidad de negocio, con órdenes de servicio separadas por campaña.
Siguiente paso
Antes de hablar de montos conviene definir qué entra y qué no. Eso está en qué revisamos y qué no.