Qué incluye
Revisión de código y seguridad. Buscando cosas que se pueden explotar de verdad, no una lista de advertencias de herramienta automática.
Revisión de infraestructura y costos. Qué se paga, por qué, y qué de eso se puede bajar sin perder nada.
Elección de tecnología y plan de migración. Cuando la pregunta es «¿nos conviene cambiar?», la respuesta útil incluye el costo de no cambiar.
Acompañamiento a tu equipo, si lo que hace falta es que alguien de afuera mire con ellos y no en lugar de ellos.
Cómo revisamos
No alcanza con encontrar algo: hay que probar que es cierto. Cada hallazgo se verifica contra el código real antes de escribirlo, y el que no sobrevive esa comprobación se descarta.
Eso importa más de lo que parece. Un informe con treinta hallazgos donde veinte son ruido hace perder más tiempo del que ahorra, porque obliga a tu equipo a revisar cada uno para descubrir que no era nada.
Qué te llevás
- Un informe escrito, con los hallazgos ordenados por gravedad.
- Para cada uno: cómo se reproduce y qué haría falta para resolverlo.
- Una conversación para repasarlo, no un PDF por correo y hasta luego.
Un ejemplo que podés revisar
En setiembre auditamos nuestro propio sistema de facturación y nuestro buzón de correo: 19 hallazgos confirmados, los 19 corregidos. Entre ellos, un archivo con una clave que el control de versiones no estaba ignorando, un buzón que cualquier sesión podía leer, y sellos de verificación de correo que se podían falsificar.
Lo contamos con nombre y apellido en nuestros proyectos, incluidos los dos problemas que aparecieron mientras arreglábamos los primeros. Una auditoría que solo cuenta lo que salió bien no es una auditoría.
Esa revisión cubrió la facturación y el buzón, no el sitio entero. Lo aclaramos porque el alcance de una auditoría es parte del resultado.