Para el CTO y el responsable de seguridad
Revisamos el backend (la parte del sistema que corre en el servidor y nadie ve) y la API que tu equipo ha hecho con IA. Recibes qué expone, qué protege y qué arreglar primero.
Recibes el inventario de rutas y cada hallazgo con su evidencia. El alcance y el plazo van por escrito antes de empezar.
Actualizado el
No hace falta si tu sistema no publica ninguna API ni guarda datos de terceros. Y hoy revisamos APIs en Python con FastAPI.
La pantalla solo enseña lo que el diseño pide, pero la API puede estar entregando mucho más. Quien quiere tus datos llama a la API directamente, sin pasar por tu app. En un banco de laboratorio de Veracode (primavera de 2026), el 45 % de las tareas de código resueltas con IA sin instrucciones de seguridad salió con un fallo de seguridad conocido. Veracode vende análisis de seguridad.
45 %
tareas de código con IA con un fallo de seguridad conocido
Veracode, 2026Más de 150 puntos de control
Marcas y logotipos de sus respectivos titulares. Su uso aquí es solo descriptivo y no implica relación comercial ni patrocinio.
En 30 minutos vemos qué API tienes y qué datos pasan por ella. Después recibes por escrito qué se revisa, contra qué entorno y el plazo.
Miramos lo que tu API publica de verdad, además de lo que dice el código: rutas, campos de las respuestas, control de acceso, cabeceras y registros.
Recibes el inventario de rutas y cada hallazgo con su evidencia, y lo repasamos con tu equipo. Cada hallazgo dice cómo comprobarlo.
Prioridad: Alta
La ruta de perfil devuelve el correo y el teléfono de otros usuarios
Ejemplo del formato del informe, no de un cliente.
¿Hablamos de tu caso?
Una reunión de 30 minutos para ver qué tienes y qué conviene revisar primero.
Las tres sirven, cada una para una cosa. La IA aporta el volumen y las personas el criterio: por eso nuestra revisión usa una herramienta automática con IA y la supervisan desarrolladores sénior.
Revisa un equipo de desarrolladores sénior, con muchas horas de desarrollo y de encontrar los fallos que cometen las IA al programar. Conocemos más de 1.200 puntos de revisión. La herramienta automática con IA los recorre, y las personas validan, dirigen y revisan.
Equipo de desarrolladores sénior
Responde José María Salido, fundador de Sondeon
Es comparar lo que tu API publica con lo que debería publicar: rutas sin protección, datos de más en las respuestas, cabeceras y registros. Nuestro health check lo revisa en APIs en Python con FastAPI y en el servidor que las publica, junto con la app o la web que las usa.
Un pentest intenta entrar en tu sistema como lo haría alguien de fuera. Esta revisión recorre lo que tu API publica y lo compara con lo que debería publicar: rutas, campos, accesos, cabeceras y registros. No sustituye a un pentest.
Sirve como evidencia técnica de qué se revisó y qué se encontró, con su fecha. No acredita el cumplimiento de ninguna norma ni sustituye el asesoramiento jurídico.
La dirección de la API, acceso de lectura al repositorio del backend y una cuenta de prueba por cada tipo de usuario. La revisión mira y mide: no cambiamos nada en producción sin tu aprobación, y todo queda escrito en el alcance.
Si nos lo encargas, sí. Primero va el diagnóstico: cada hallazgo con su evidencia y su prioridad. El arreglo va aparte y solo si lo pides, y también puede hacerlo tu equipo con la lista en la mano.
La reunión de 30 minutos es gratis. Lo demás depende del número de rutas de la API y de cuántos tipos de usuario haya que probar. Lo vemos en esa reunión y recibes el alcance y el plazo de nuestro health check por escrito antes de empezar.
Apps en Flutter hechas con IA, probadas en teléfonos iOS y Android reales por comando y con gestos táctiles, junto con su backend.
Rendimiento, posicionamiento en buscadores y en asistentes de IA (SEO y GEO), accesibilidad y seguridad de tu web, medidos en la página real.
PostgreSQL, Redis, Elasticsearch y RabbitMQ, en solo lectura: estructura, índices, consultas lentas, bloqueos y conexiones.
El servidor donde va a correr tu sistema, revisado antes de publicarlo: quién accede, qué corre en él y qué límites se rompen al crecer.
Las máquinas Linux donde corre tu sistema, medidas cada pocos segundos, para ver un disco lleno o un contenedor parado antes que tus usuarios.
Cada llamada a tu API medida, con su latencia, su error y la pantalla que la pidió, para saber qué endpoint optimizar antes de que crezca el tráfico.
Rellena el formulario y te escribimos por correo para fijar día y hora. Son 30 minutos para ver qué tienes y qué conviene revisar primero.