Pentesting SaaS vs pentesting web: ¿en qué se diferencian realmente?

Por el equipo de QuantumSec

Cuando una empresa SaaS busca un servicio de pentesting, a menudo recibe propuestas de pentesting web estándar. El problema es que un pentesting web genérico no cubre las superficies de ataque específicas del modelo SaaS: el aislamiento entre tenants, la lógica de billing, los permisos por plan, los webhooks y las APIs complejas de multi-organización. Esta guía explica exactamente en qué se diferencia un pentesting SaaS de un pentesting web convencional.

Superficie de ataque: más capas en un SaaS

Un pentesting web estándar evalúa la aplicación de un único usuario contra el servidor: autenticación, sesiones, inyecciones, XSS, misconfiguraciones. En un SaaS hay capas adicionales que requieren pruebas específicas: la relación entre tenants (¿puede el tenant A acceder a datos del tenant B?), los roles dentro de cada tenant (¿puede un usuario básico del tenant A acceder a funciones de admin?), los scopes de las API keys (¿tienen permisos excesivos?), las integraciones externas (¿exponen datos de un tenant a otro vía webhooks?), y el panel de administración del propio SaaS. Esta complejidad hace que el scope de un pentesting SaaS sea significativamente mayor.

Pruebas de aislamiento multi-tenant: exclusivas del SaaS

La prueba más crítica y exclusiva del pentesting SaaS es el test de aislamiento multi-tenant. El auditor crea (o utiliza) al menos dos cuentas de tenant diferentes y sistemáticamente intenta que la cuenta A acceda a recursos de la cuenta B: documentos, usuarios, facturas, configuración, logs de actividad, datos exportados. Esta prueba requiere entender cómo el sistema identifica al tenant (tenant_id en JWT, en cabecera HTTP, en subdomain) y probar todas las variantes de IDOR posibles en la API. Un pentesting web estándar no cubre esta dimensión porque solo trabaja con un único contexto de usuario.

Lógica de negocio: el punto diferencial más importante

Los fallos de lógica de negocio son los que más impacto tienen en un SaaS y los que los pentesting genéricos raramente detectan. Ejemplos específicos de SaaS: ¿puede un usuario del plan Starter activar funcionalidades del plan Enterprise modificando una petición de API? ¿Puede un usuario downgradearse durante un período de facturación y seguir usando los recursos del plan superior? ¿Puede manipularse el contador de uso de una feature para evitar llegar al límite? ¿Puede reutilizarse un código de descuento más veces de las permitidas? Detectar estos fallos requiere que el auditor entienda profundamente el modelo de negocio del producto, no solo la tecnología.

APIs en SaaS: más complejas y críticas

Las APIs de un SaaS suelen ser más complejas que las de una aplicación web tradicional. Incluyen: APIs públicas para integraciones de clientes (con API keys con diferentes scopes), APIs internas entre microservicios, webhooks bidireccionales, APIs de administración para el panel de control del SaaS, y en muchos casos APIs GraphQL además de REST. Un pentesting web estándar cubre los endpoints que se usan desde el frontend. Un pentesting SaaS evalúa toda la superficie de la API, incluyendo rutas que no se usan desde la interfaz pero que están expuestas.

Duración y coste: generalmente mayor en SaaS

Un pentesting web de una aplicación sencilla puede completarse en 3-5 días. Un pentesting SaaS completo —que incluye pruebas de multi-tenancy, análisis de lógica de negocio, APIs complejas y panel de administración— normalmente requiere entre 7 y 15 días hábiles según la complejidad. El mayor tiempo se traduce en mayor coste, pero también en mayor valor: los hallazgos específicos de SaaS suelen tener un impacto de negocio más alto que las vulnerabilidades web estándar.

Cuándo necesitas un pentesting SaaS vs uno web estándar

Opta por un pentesting SaaS especializado si: tu aplicación sirve a múltiples clientes con datos separados, tienes diferentes planes de precios con funcionalidades restringidas, ofreces API pública para integraciones, los datos de tus clientes son sensibles (financieros, de salud, legales o de RRHH), o necesitas el informe para due diligence de inversores o certificación SOC 2. Un pentesting web estándar es suficiente si tienes una aplicación de un solo tenant, sin lógica de pricing compleja ni APIs de integración para terceros.

FAQ

¿Puede hacer el mismo pentester un pentesting web y uno SaaS?

Técnicamente sí, pero el pentesting SaaS requiere experiencia adicional en pruebas de aislamiento multi-tenant y análisis de lógica de negocio. Un pentester con experiencia solo en aplicaciones web tradicionales puede pasar por alto los vectores específicos del modelo SaaS. Asegúrate de que el equipo contratado tiene experiencia específica en SaaS y no solo en OWASP Top 10.

¿El pentesting SaaS cubre tanto la web como la API?

Sí, el pentesting SaaS es por naturaleza multi-capa: cubre la aplicación web, todas las APIs (REST, GraphQL), los webhooks, las integraciones con terceros y el panel de administración. El scope exacto se define con el cliente antes del inicio del test.

¿Qué documentación necesito preparar para un pentesting SaaS?

Lo más útil es: documentación de la arquitectura del sistema (aunque sea básica), listado de roles de usuario y sus permisos, acceso a cuentas de prueba en dos tenants diferentes (o instrucciones para crearlas), y documentación de la API si existe (Swagger, Postman collection). Cuanto más contexto tenga el auditor sobre el producto, más profundo y eficiente será el test.