Kit de auditoría

Ocho modos. Un artículo para cada uno.

No eliges un modo interno. Dices el proyecto — sitio, SaaS, MCP — y la profundidad. Cada guía dice qué hace la squad, qué rechaza y cómo lanzar.

El ángulo

Pentest IA: audita tu app sin enviar el código fuera.

Qué es un pentest IA, qué no es, y qué modo abrir según tengas un sitio, un SaaS o agentes MCP.

01-express · 30–45 min

Cuándo abrir Express, qué cubre, y por qué una Express con confianza 5 es una falta.

02-complet-web · 1 día

Pipeline de una auditoría web completa y cuándo pasar a SaaS.

03-complet-saas · 1–2 días

Regla de los dos tenants. No es SSPM: auditas el SaaS que TÚ construyes.

04-agents-mcp · 4–8 h

Quién puede llamar qué tool, un tool + el id de otro tenant, prompts y .env expuestos.

05-delta · 2–6 h

Snapshot antes de recolectar. No es una auditoría nueva disfrazada.

06-continuous · 30–90 min / run

Sin baseline, no es el modo correcto.

07-redteam-leger · 1–3 días

Cuatro cláusulas del mandato. Un « es mi sitio » en el chat no basta.

08-rapport-board · 1–3 h

Portal duro: qa.passed=true. Si no, stop.