Auditoría de Código Fuente (SAST)Source Code Audit (SAST)

¿Qué es este servicio?What is this service?

Es la revisión del código fuente en busca de fallos de seguridad, que combina herramientas de análisis estático con revisión manual de las partes críticas: autenticación, autorización, manejo de datos sensibles y criptografía.

A review of source code in search of security flaws, combining static analysis tooling with manual review of the critical parts: authentication, authorisation, sensitive data handling and cryptography.

¿Para qué se usa?What is it used for?

Permite atacar la causa y no el síntoma. Un pentest señala que hay una inyección en un formulario; la auditoría de código muestra que ese patrón inseguro se repite en cuarenta lugares. La herramienta por sí sola genera muchísimo ruido, de modo que el valor está en el filtrado y en la revisión manual de lo que importa.

It addresses the cause rather than the symptom. A penetration test reports an injection in one form; a code audit shows that the same insecure pattern repeats in forty places. The tool on its own generates enormous noise, so the value lies in triage and manual review of what matters.

Qué beneficios traeBenefits it delivers

• Encuentra fallos en rutas que un pentest nunca alcanza porque no son accesibles desde la interfaz.
• Detecta secretos incrustados en el código y en el historial del repositorio, que es un hallazgo constante.
• Da al equipo de desarrollo la línea exacta a corregir, no un síntoma que hay que rastrear.
• Identifica patrones repetidos, lo que permite arreglar la causa una vez en vez de cuarenta veces.

• Finds flaws on paths a penetration test never reaches because they are not accessible from the interface.
• Detects secrets embedded in the code and in the repository history, a constant finding.
• Gives the development team the exact line to fix rather than a symptom to trace.
• Identifies repeated patterns, allowing the root cause to be fixed once instead of forty times.

¿En qué momentos es obligatorio?When is it mandatory?

Requisitos mínimosMinimum requirements

• Acceso al repositorio, idealmente con el historial completo, porque los secretos suelen estar en commits antiguos.
• Acuerdo de confidencialidad, ya que se entrega el activo más sensible de la empresa.
• Documentación de la arquitectura para saber qué módulos son críticos y merecen revisión manual.
• Un contacto del equipo de desarrollo para resolver dudas de contexto durante la revisión.

• Repository access, ideally with full history, since secrets usually sit in old commits.
• A confidentiality agreement, since the most sensitive asset of the company is being handed over.
• Architecture documentation to identify which modules are critical and deserve manual review.
• A development team contact to resolve context questions during the review.

Plazo típico de entregaTypical delivery time

El rango habitual del mercado va de dos a cinco semanas según el tamaño del código y cuántos lenguajes haya. Una aplicación de unas decenas de miles de líneas se revisa en dos semanas; un monolito de varios cientos de miles se va a seis u ocho. El filtrado de falsos positivos consume más tiempo que el escaneo.

The usual market range runs from two to five weeks depending on codebase size and how many languages are involved. An application of a few tens of thousands of lines is reviewed in two weeks; a monolith of several hundred thousand stretches to six or eight. Filtering false positives consumes more time than scanning.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.