Una auditoría de seguridad que separa lo confirmado de lo dudoso.

Para empresas y administraciones con software propio o hecho por un proveedor: una web, un portal, una API o una aplicación interna. También para quien tiene que enseñar garantías de seguridad a un cliente o a una administración.

No sabes si tu aplicación tiene agujeros. La hizo un proveedor, o un equipo que ya no está. La última auditoría fue un PDF con cientos de avisos de una herramienta automática, sin orden, y nadie supo por dónde empezar. Y ahora un cliente te pide pruebas de que tu software es seguro.

Leemos el código y miramos la aplicación como alguien que quiere entrar. Cada posible fallo lo propone un agente y otro distinto intenta demostrar que es falso. Al informe llega lo que resiste, con su prueba. Te decimos qué arreglar primero y cuál es el cambio más pequeño que lo cierra.

Acordamos el alcance: qué repositorios y qué aplicaciones. Nos das acceso de solo lectura al código. Trabajamos sin tocar nada: no cambiamos el código ni lo ejecutamos fuera de un entorno aislado. Recibes el informe con lo confirmado, lo pendiente de validar y la corrección mínima de cada hallazgo. Si quieres, lo arreglamos nosotros y volvemos a comprobarlo.

Hallazgos confirmados por gravedad, hallazgos pendientes de validar, candidatos descartados en la verificación y, si hay una segunda vuelta, hallazgos ya corregidos.

La auditoría empieza con analizadores automáticos: Semgrep para el código, OSV-Scanner para las dependencias, Trivy para las imágenes y la configuración, y Gitleaks para las credenciales en el historial. Lo que encuentran son pistas, no hallazgos.

Después viene el reconocimiento: qué hace la aplicación, por dónde entran los datos y qué protege. El código se reparte en unidades y cada una la revisa un agente aislado, que parte de esas pistas y busca además lo que un analizador no ve: fallos de permisos y de lógica.

Cada candidato pasa a un agente verificador independiente, cuyo trabajo es refutarlo. Lo que no consigue refutar queda confirmado; lo que no se puede confirmar ni descartar se entrega como pendiente de validar. Los hallazgos se guardan con un formato fijo y validado, y el informe sale de ahí.

Para Liferay usamos una guía propia, con los fallos habituales de sus módulos, servicios y permisos. En nuestros proyectos el análisis estático lleva además reglas propias para Liferay y detiene la integración si aparece un hallazgo nuevo.