El pentesting (o prueba de penetración) es el proceso por el que un profesional de seguridad simula un ataque real contra un sistema informático, red o aplicación con permiso explícito de su propietario. El objetivo no es causar daño sino encontrar las grietas antes de que lo haga un atacante malintencionado. En un mundo donde las brechas de datos cuestan millones y la reputación de una empresa puede destruirse en horas, el pentesting ha pasado de ser una práctica de nicho a una necesidad para cualquier organización que maneje datos o preste servicios en línea. Esta guía cubre todo lo que necesitas saber: qué es, cómo funciona, qué herramientas se usan, cómo formarte y qué salidas profesionales ofrece.
Qué es el pentesting y para qué sirve
Un test de penetración (en inglés penetration test o pentest) es un ataque autorizado y controlado contra un objetivo concreto. El profesional que lo ejecuta recibe un encargo claro: intenta entrar como lo haría un criminal y documenta cada paso. Al final entrega un informe que detalla qué se encontró, cómo se explotó y qué hay que corregir.
Las empresas hacen pentests por varias razones: para descubrir vulnerabilidades antes que los atacantes reales, para cumplir con normativas como PCI DSS, ISO 27001, ENS (Esquema Nacional de Seguridad) o GDPR, para validar que los controles de seguridad ya implantados funcionan bien, para dar evidencias a clientes, inversores o auditores, y para priorizar el presupuesto de seguridad con datos reales y no con suposiciones.
Sin un pentest, una organización no sabe si sus firewalls, sistemas de detección de intrusos o políticas de contraseñas aguantan de verdad. El test convierte la seguridad de una sensación en un hecho demostrable.
Pentesting, hacking ético y red team: diferencias importantes
Los tres términos se usan a veces indistintamente, pero no son lo mismo.
Hacking ético
El hacking ético es el paraguas más amplio. Engloba cualquier actividad ofensiva realizada con permiso para mejorar la seguridad: pentesting, bug bounty, auditorías de código, análisis forense o ingeniería social controlada. Todo pentester es un hacker ético, pero no todo hacker ético hace pentests.
Pentesting
El pentesting es un encargo acotado en tiempo y alcance. Dura días o semanas, se centra en un sistema o aplicación definidos y termina con un informe. Es reactivo: se hace cuando la empresa lo pide, no de forma continua.
Red team
El red team va más lejos. Simula una amenaza persistente avanzada (APT) durante semanas o meses, usa tácticas de OSINT, ingeniería social, intrusión física y movimiento lateral para comprobar si el equipo defensor (blue team) es capaz de detectar y responder. No busca solo vulnerabilidades técnicas, evalúa personas, procesos y tecnología de forma integrada. El red team a menudo trabaja sin que el equipo de IT sepa que hay un ejercicio en curso.
En la práctica, muchas empresas contratan un pentest anual o trimestral y, cuando maduran su postura de seguridad, dan el salto a ejercicios de red team y a modelos de purple team (colaboración estructurada entre atacantes y defensores).
Tipos de pentesting
No existe un único tipo de pentest. La modalidad elegida depende del activo que se quiere evaluar.
Pentesting de aplicaciones web
Es el más demandado. Se analiza la aplicación buscando vulnerabilidades del OWASP Top 10: inyección SQL, XSS, CSRF, control de acceso roto, deserialización insegura, entre otros. La referencia estándar es la OWASP Web Security Testing Guide (WSTG).
Pentesting de red interna y externa
Se analizan los servicios expuestos en Internet (red externa) o la infraestructura interna (servidores, switches, Active Directory). Es frecuente en empresas con entornos Windows corporativos donde los ataques a Kerberos, SMB o LDAP son vectores habituales.
Pentesting WiFi
Evalúa la seguridad de las redes inalámbricas: protocolos WPA2/WPA3, redes invitado mal segmentadas, ataques de deautenticación y capturas de handshakes. Un WiFi corporativo mal configurado puede ser la puerta de entrada a toda la red interna.
Pentesting de aplicaciones móviles
Cubre apps Android e iOS. Se analizan el almacenamiento inseguro de datos, el tráfico sin cifrar, la validación del servidor o los permisos excesivos. La OWASP Mobile Application Security es la guía de referencia.
Ingeniería social
El vector humano sigue siendo el más explotado. La ingeniería social como modalidad de pentest incluye campañas de phishing simulado, vishing (llamadas telefónicas) y, en algunos casos, intrusión física (tailgating, clonación de tarjetas de acceso). Mide la concienciación real de los empleados, no la teórica.
Pentesting cloud
Con la migración masiva a AWS, Azure y GCP, el pentesting cloud evalúa la configuración de servicios: buckets S3 públicos, roles IAM con privilegios excesivos, secretos en variables de entorno, redes virtuales mal segmentadas. Cada proveedor tiene su política de pentesting que hay que consultar antes de empezar.
Tipos de caja: negra, gris y blanca
Independientemente del tipo de sistema que se analice, un pentest puede ejecutarse con distintos niveles de información previa.
Caja negra (black box)
El pentester no recibe ninguna información. Simula a un atacante externo que solo conoce el nombre de la empresa o la URL. Es la aproximación más realista desde el punto de vista del atacante, pero también la más lenta y costosa porque hay que invertir tiempo en reconocimiento.
Caja gris (grey box)
El enfoque más habitual en la industria. El pentester recibe información parcial: credenciales de usuario estándar, diagramas de red básicos o acceso limitado. Simula al empleado comprometido o al atacante que ya ha conseguido un punto de apoyo inicial. Optimiza el tiempo sin sacrificar realismo.
Caja blanca (white box)
El pentester tiene acceso completo: código fuente, arquitectura, credenciales de administrador, documentación interna. Permite una revisión exhaustiva y es especialmente útil para encontrar vulnerabilidades lógicas complejas que un test de caja negra podría pasar por alto. Se usa mucho en auditorías de código seguro.
Metodología: las fases de un pentest profesional
Un pentest profesional no es un ataque caótico, sigue un proceso ordenado. El estándar más adoptado en la industria es el PTES (Penetration Testing Execution Standard), que define siete fases.
Fase 1: Pre-engagement (definición del alcance)
Todo empieza antes de tocar un teclado. Cliente y pentester firman un contrato que incluye el alcance exacto (qué sistemas se pueden atacar y cuáles están fuera de límites), el período de realización, las reglas de compromiso (horario, si se permite el DoS, etc.) y las formas de contacto de emergencia. Sin este documento, cualquier acción técnica es ilegal.
Fase 2: Reconocimiento (intelligence gathering)
El pentester recopila información pública sobre el objetivo sin interactuar directamente con sus sistemas: registros DNS, certificados SSL, cuentas en LinkedIn, repositorios de código público, metadatos de documentos, correos corporativos. A esto también se le llama OSINT (Open Source Intelligence). Cuanta más información se reúne aquí, más preciso será el ataque posterior.
Fase 3: Escaneo y enumeración
Ahora sí hay interacción activa. Se identifican los puertos abiertos, servicios en ejecución, versiones de software, banners y configuraciones. Aquí entran herramientas como Nmap para descubrimiento de hosts y servicios, Nikto para servidores web o herramientas de enumeración de SMB y LDAP en entornos Windows. Esta fase combina el modelado de amenazas del PTES con la identificación de vulnerabilidades candidatas.
Fase 4: Explotación
Con el mapa de vulnerabilidades en la mano, el pentester intenta explotarlas para ganar acceso. El objetivo es demostrar que la vulnerabilidad es real y explotable, no solo teórica. Se pueden usar exploits públicos, herramientas como Metasploit o técnicas manuales. En aplicaciones web, esta fase incluye la explotación de inyecciones SQL, XSS, IDOR o fallos de autenticación.
Fase 5: Post-explotación
Una vez dentro, ¿cuánto daño podría hacer un atacante real? La post-explotación responde esta pregunta con acciones concretas. La escalada de privilegios busca conseguir permisos de administrador o root en el sistema comprometido, bien por configuraciones incorrectas, exploits de kernel o abuso de servicios mal configurados. La persistencia consiste en instalar un mecanismo que permita volver al sistema aunque el acceso inicial se cierre (tareas programadas, servicios, llaves de registro, cuentas backdoor). El movimiento lateral usa el acceso a un sistema para comprometer otros dentro de la misma red, usando credenciales reutilizadas, tickets Kerberos o servicios de administración remota. El pivoting permite alcanzar segmentos de red que no son directamente accesibles desde el punto de entrada original, usando el sistema comprometido como intermediario. Y la exfiltración demuestra que un atacante podría extraer datos sensibles (bases de datos, ficheros de configuración, credenciales) sin ser detectado.
El framework MITRE ATT&CK es la referencia universal para documentar esta fase. Organiza las técnicas de los atacantes reales en 14 tácticas para la matriz Enterprise: reconocimiento, desarrollo de recursos, acceso inicial, ejecución, persistencia, escalada de privilegios, evasión de defensas, acceso a credenciales, descubrimiento, movimiento lateral, recopilación, mando y control, exfiltración e impacto. Para cada táctica hay decenas de técnicas con identificador único (T1XXX), ejemplos de grupos APT reales que las usan y contramedidas asociadas. Usar MITRE ATT&CK en el informe de post-explotación permite al cliente saber exactamente contra qué TTPs debe mejorar su detección.
Fase 6: Informe
El informe es el producto entregable del pentest y lo que justifica su coste. Un buen informe tiene dos partes: el resumen ejecutivo (para dirección y no técnicos: qué nivel de riesgo existe, qué activos están en peligro y qué hay que priorizar) y el informe técnico detallado (para el equipo de IT: cada vulnerabilidad con su evidencia, pasos de reproducción, CVSS si aplica y recomendación de remediación). La fase de reporting del PTES exige que el informe sea comprensible para ambas audiencias.
Estándares y marcos de referencia
El pentesting no opera en el vacío. Hay varios marcos que guían cómo se planifica, ejecuta y reporta un test.
PTES: Penetration Testing Execution Standard
El PTES es el estándar más referenciado en la industria. Define las siete fases descritas arriba y da guías técnicas detalladas para cada una. Es de uso libre y está disponible en pentest-standard.org.
OWASP WSTG: Web Security Testing Guide
La OWASP WSTG es la guía de referencia para pentesting de aplicaciones web. En su versión 4.2 (estable) cataloga centenares de pruebas específicas agrupadas por categoría: pruebas de gestión de configuración, autenticación, autorización, gestión de sesiones, validación de entradas y más. OWASP trabaja actualmente en la versión 5.0.
OSSTMM: Open Source Security Testing Methodology Manual
Desarrollado por ISECOM, el OSSTMM (versión 3) es un marco más formal que cubre no solo sistemas digitales sino también seguridad física, comunicaciones inalámbricas y el factor humano. Introduce el concepto de RAV (Risk Assessment Value) como métrica cuantificable del riesgo. Es especialmente relevante para auditorías holísticas y cumplimiento normativo.
MITRE ATT&CK
MITRE ATT&CK no es un estándar de pentesting en sentido estricto, pero se ha convertido en el lenguaje común entre atacantes y defensores. Su taxonomía de tácticas, técnicas y procedimientos (TTPs) permite al pentester mapear exactamente qué técnicas simuló durante el test y compararlas con las que usan los actores de amenaza reales. Es imprescindible en ejercicios de red team y en la fase de reporting avanzada.
Herramientas del pentester
Las herramientas no hacen al pentester, pero sin conocerlas no se puede serlo. A continuación, las más usadas en la industria, organizadas por fase.
Reconocimiento
theHarvester recopila correos, subdominios y nombres desde fuentes públicas como Google, Bing, LinkedIn o Shodan. Shodan es un buscador de dispositivos conectados a Internet que permite encontrar servidores vulnerables, cámaras IP o sistemas SCADA expuestos. Maltego es una herramienta visual de OSINT que relaciona entidades (personas, dominios, IPs, organizaciones) en un grafo. Y Amass hace enumeración avanzada de subdominios con múltiples fuentes de datos.
Escaneo y enumeración
Nmap es el estándar de facto para descubrimiento de hosts y escaneo de puertos y servicios; su motor de scripts (NSE) permite automatizar cientos de comprobaciones adicionales. Nikto es un escáner de servidores web que detecta configuraciones incorrectas, archivos sensibles expuestos y versiones vulnerables. Gobuster y feroxbuster enumeran directorios y archivos en servidores web mediante fuerza bruta de rutas. Enum4linux y enum4linux-ng enumeran shares SMB, usuarios y políticas en entornos Windows/Samba. Y Bloodhound analiza y visualiza rutas de ataque en Active Directory, algo imprescindible para entender cómo llegar a Domain Admin.
Explotación
Metasploit Framework es el framework de explotación más conocido del mundo; incluye miles de exploits y módulos auxiliares para casi cualquier sistema operativo y servicio. Burp Suite es un proxy para interceptar, modificar y analizar tráfico HTTP/HTTPS, la herramienta estándar para pentesting web (la versión Community es gratuita, la Professional añade el escáner activo y herramientas avanzadas). SQLmap automatiza la detección y explotación de inyecciones SQL. E Impacket es una colección de scripts Python para protocolos de red Windows (SMB, LDAP, Kerberos), necesaria para ataques como Pass-the-Hash o Kerberoasting.
Post-explotación
Mimikatz extrae credenciales, hashes y tickets Kerberos de la memoria de Windows. CrackMapExec y NetExec sirven para movimiento lateral en redes Windows, ejecución remota de comandos y verificación masiva de credenciales. Cobalt Strike es una plataforma de emulación de amenazas usada en ejercicios de red team, de licencia comercial, cuyas balizas (beacons) permiten control persistente y movimiento sigiloso. Y PowerSploit y PowerShell Empire son frameworks de post-explotación basados en PowerShell para entornos Windows.
Pivoting y tunneling
Ligolo-ng es una herramienta moderna de tunneling que permite crear un túnel de red hacia segmentos internos de forma eficiente y con baja huella; se usa mucho en entornos donde el pivoting clásico con Metasploit resulta ruidoso. Chisel es un túnel TCP/UDP sobre HTTP que funciona bien en entornos con proxies o firewalls restrictivos, ideal para exponer puertos internos al atacante. Y el SSH port forwarding es la técnica más clásica para pivoting cuando hay acceso SSH: local forwarding, remote forwarding y dynamic forwarding con SOCKS5 para enrutar tráfico de herramientas a través del sistema comprometido.
Análisis de tráfico y cracking de contraseñas
Wireshark es un analizador de protocolos de red, útil para capturar tráfico en la misma red, detectar protocolos sin cifrar y depurar ataques man-in-the-middle (imprescindible también para analizar capturas de tráfico en auditorías WiFi). Responder captura hashes NetNTLM en redes Windows mediante envenenamiento de protocolos LLMNR, NBT-NS y MDNS, y con frecuencia es el primer paso para obtener credenciales en una red interna Windows. John the Ripper y Hashcat sirven para el cracking de contraseñas a partir de hashes capturados: Hashcat usa la GPU para velocidades muy superiores, mientras que John the Ripper es más versátil para una gran variedad de formatos de hash.
Distribuciones especializadas
Kali Linux es la distribución más usada para pentesting: incluye cientos de herramientas preinstaladas y actualizaciones frecuentes del repositorio oficial, y es la plataforma estándar en cursos y certificaciones. Parrot OS es una alternativa a Kali, más ligera y orientada también a la privacidad y el anonimato.
El contrato y el marco legal
Esta es la diferencia que separa al pentester del delincuente: el permiso explícito y por escrito. Atacar un sistema sin autorización es delito en España bajo el artículo 197 bis del Código Penal (acceso ilícito a sistemas informáticos), independientemente de la intención. Antes de ejecutar cualquier acción técnica es imprescindible tener firmado un contrato que incluya el alcance exacto (IPs, dominios y sistemas dentro y fuera de alcance, sin ambigüedad), las ventanas de tiempo (días y horas en las que se puede actuar), las reglas de compromiso (qué técnicas están permitidas: ¿se puede hacer DoS?, ¿se puede acceder a datos de producción?), un punto de contacto de emergencia (a quién llamar si algo sale mal), una cláusula de confidencialidad (el pentester maneja información muy sensible) y la propiedad del informe (quién puede verlo y bajo qué condiciones).
Si el objetivo está alojado en infraestructura de un tercero (AWS, Azure, GCP, un hosting compartido), hay que obtener también la autorización del proveedor de infraestructura, ya que sus términos de servicio suelen regular las pruebas de seguridad.
Normativa que impulsa el pentesting en España y Europa
Más allá del marco penal, varias normativas europeas y nacionales exigen o recomiendan explícitamente hacer pruebas de penetración periódicas. La directiva NIS2 (transpuesta en España como Ley de Coordinación de Ciberseguridad) obliga a entidades esenciales e importantes a adoptar medidas técnicas y organizativas proporcionales a su riesgo, incluyendo la evaluación periódica de su postura de seguridad; el pentesting es la forma más directa de cumplir con este requisito. El ENS (Esquema Nacional de Seguridad) exige a las administraciones públicas y a sus proveedores tecnológicos hacer auditorías de seguridad periódicas, y las medidas de seguridad del ENS categoría Alta incluyen explícitamente pruebas de intrusión. El PCI DSS, el estándar de seguridad para el sector de tarjetas de pago, exige pruebas de penetración de red interna y externa al menos una vez al año y después de cualquier cambio significativo en la infraestructura. Y la ISO 27001, aunque no exige pentesting de forma explícita, incluye en su Anexo A controles de gestión de vulnerabilidades y pruebas de seguridad que las organizaciones certificadas implementan habitualmente mediante pentests.
El cumplimiento normativo es uno de los motores principales de la demanda de servicios de pentesting en España, sobre todo en sectores como banca, sanidad, energía y administración pública.
Cómo formarse en pentesting
La seguridad ofensiva es un campo donde la práctica importa más que la teoría. Los laboratorios hands-on, las plataformas de wargames y las certificaciones prácticas pesan más en el mercado laboral que un máster puramente teórico.
Plataformas de práctica
Hack The Box (HTB) ofrece máquinas vulnerables organizadas por dificultad, y es la plataforma de referencia para practicar en entornos realistas (tiene su propia certificación, la CPTS). TryHackMe es más accesible para principiantes, con rutas guiadas por temática (web, Active Directory, OSINT, etc.). VulnHub ofrece máquinas virtuales descargables para practicar offline. Y PortSwigger Web Security Academy tiene laboratorios gratuitos para pentesting web con Burp Suite, mantenidos por los creadores de Burp.
Certificaciones por nivel
El camino habitual en seguridad ofensiva va de lo básico a lo avanzado. Puedes consultar nuestra guía de las mejores certificaciones de ciberseguridad para un análisis completo, pero aquí tienes el mapa del camino ofensivo.
Nivel inicial
El eJPT (eLearnSecurity Junior Penetration Tester) es la certificación de entrada de INE Security: examen 100 % práctico en un laboratorio de red, sin preguntas teóricas. El voucher suele incluirse con la suscripción de INE, y es la primera certificación recomendada para quien viene de cero. El CEH (Certified Ethical Hacker), de EC-Council, tiene un contenido más teórico y es reconocida especialmente en entornos corporativos y procesos de selección que piden certificaciones conocidas por RRHH.
Nivel intermedio
El PNPT (Practical Network Penetration Tester), de TCM Security, tiene un examen completamente práctico: 5 días para comprometer una red corporativa simulada y 2 días adicionales para redactar el informe, seguido de un debrief en directo de 15 minutos. Consulta el precio actualizado en la web oficial de TCM Security. Sin opción de respuesta múltiple, sin flags de CTF: es lo más parecido a un pentest real que hay en este nivel de precio, y está muy valorado en la comunidad. El CPTS (Certified Penetration Testing Specialist), de Hack The Box, tiene un examen práctico de 10 días en un entorno de red complejo; es una alternativa técnicamente exigente al PNPT.
Nivel avanzado
El OSCP (Offensive Security Certified Professional) es la certificación más reconocida en la industria para pentesting. Lo emite OffSec (antes Offensive Security). El examen dura 23 horas y 45 minutos: hay que comprometer 3 máquinas independientes (20 puntos cada una) y un conjunto de Active Directory (40 puntos), con 70 puntos como mínimo para aprobar. El curso PEN-200 con intento de certificación se ofrece mediante planes de suscripción de OffSec (Learn One, Learn Unlimited); consulta el precio actual en offsec.com. No hay prerrequisitos formales, pero se recomienda experiencia previa en redes, Linux y scripting básico. El OSEP (Offensive Security Experienced Penetration Tester), también de OffSec, es el siguiente escalón tras el OSCP: evasión de defensas avanzadas, Active Directory a gran escala, C2 personalizado, para perfiles con experiencia. Y el OSWE (Offensive Security Web Expert) es una especialización en pentesting de código fuente de aplicaciones web, de nivel muy avanzado.
Consulta también nuestra sección de cursos y certificaciones de ciberseguridad para recursos de formación actualizados.
Tabla comparativa de certificaciones ofensivas
| Certificación | Emisor | Nivel | Formato examen | Precio orientativo |
|---|---|---|---|---|
| eJPT | INE Security | Inicial | Laboratorio práctico (sin test) | Incluido en suscripción Starter de INE |
| CEH | EC-Council | Inicial / Medio | 125 preguntas tipo test (4 h) | Variable según modalidad y región |
| PNPT | TCM Security | Medio | 5 días práctico + 2 días informe + debrief | Consultar en tcm-sec.com |
| CPTS | Hack The Box | Medio / Avanzado | 10 días laboratorio práctico | Incluido con suscripción HTB |
| OSCP | OffSec | Avanzado | 23 h 45 min práctico + 24 h informe | Suscripción (consultar offsec.com) |
| OSEP | OffSec | Avanzado | 48 h práctico + 24 h informe | Bundle PEN-300 (consultar offsec.com) |
| OSWE | OffSec | Avanzado | 48 h práctico + 24 h informe | Bundle WEB-300 (consultar offsec.com) |
Nota sobre precios: los precios de OffSec corresponden a la información pública disponible en junio de 2026 y pueden cambiar. Verifica siempre en offsec.com antes de matricularte. El precio del CEH varía bastante según si se contrata formación oficial, voucher independiente o se pertenece a colectivos con descuento.
Salidas profesionales y salarios
El pentesting es uno de los perfiles más demandados y mejor pagados dentro de la ciberseguridad, y la tendencia se mantiene al alza por la escasez de profesionales cualificados.
Roles profesionales
El pentester o analista de seguridad ofensiva es el rol más directo: trabaja en consultoría o en el equipo interno de seguridad de grandes empresas. El red teamer simula amenazas persistentes avanzadas y requiere experiencia previa en pentesting y conocimientos de operaciones encubiertas, ingeniería social y evasión de EDR. El bug bounty hunter trabaja de forma independiente buscando vulnerabilidades en programas de recompensas de empresas como Google, Meta, Microsoft o a través de plataformas como HackerOne o Bugcrowd, con ingresos variables según hallazgos. El investigador de vulnerabilidades analiza software y firmware buscando vulnerabilidades de día cero, y requiere conocimientos profundos de reversing y análisis de binarios. Y el consultor de seguridad ofensiva es un perfil senior que gestiona proyectos, trata con clientes y lidera equipos además de ejecutar tests.
Salarios en España
Las cifras varían bastante según la fuente, el perfil exacto y la empresa. Según datos de Glassdoor y Indeed (consultados en junio de 2026), los perfiles junior (0-2 años de experiencia) se sitúan en un rango entre 22.000 € y 29.500 € brutos anuales. Los perfiles medios (2-5 años) rondan entre 30.000 € y 42.000 € brutos anuales. Y los perfiles senior y especializados (más de 5 años, certificaciones avanzadas como OSCP u OSEP) pueden superar los 50.000 € brutos anuales en grandes consultoras o empresas del sector financiero y tecnológico.
En Madrid los salarios tienden a ser algo superiores a la media nacional. Los perfiles con certificaciones avanzadas, experiencia en red team o conocimientos de Cloud y Active Directory tienen mayor margen de negociación. El trabajo remoto y los contratos internacionales abren una banda salarial muy distinta para quienes tienen nivel de inglés profesional.
Cómo empezar en pentesting desde cero
La barrera de entrada en pentesting es técnica pero no insalvable. Hay una hoja de ruta razonablemente clara que la comunidad ha validado.
Paso 1: construye la base técnica
Antes de aprender a atacar hay que entender qué se está atacando. Eso significa fundamentos de redes TCP/IP (cómo funcionan HTTP, DNS, ARP, SMB), sistemas operativos Linux con comodidad en la línea de comandos, y nociones de programación o scripting (Python y Bash son suficientes para empezar). Sin esta base, las herramientas de pentesting son cajas negras incomprensibles.
Paso 2: entra en un laboratorio práctico
TryHackMe es la plataforma más recomendada para principiantes absolutos. Sus rutas guiadas explican los conceptos mientras practicas. Cuando te sientas cómodo, da el salto a Hack The Box, donde las máquinas no tienen guía y hay que pensar por cuenta propia.
Paso 3: obtén una primera certificación
El eJPT es la puerta de entrada más accesible. Valida que tienes los fundamentos y es reconocida en procesos de selección para posiciones junior. Después, el PNPT o el CPTS son el siguiente escalón natural antes del OSCP.
Paso 4: especialízate
El pentesting es amplio. Web, Active Directory, móvil, cloud, reversing: es imposible dominarlo todo al mismo tiempo. Elige un área según tus intereses y profundiza. La especialización se traduce en mayor valor en el mercado laboral.
Paso 5: construye portafolio y comunidad
Documenta los retos que resuelves (writeups de HTB o TryHackMe), contribuye a herramientas open source, participa en CTFs, asiste a eventos como RootedCON o No cON Name. La comunidad de seguridad en España es activa y las referencias personales abren muchas puertas.
Si buscas un plan estructurado desde el principio, consulta nuestra guía de cómo empezar en ciberseguridad desde cero y la sección de seguridad ofensiva con recursos actualizados.
El pentesting dentro del ecosistema defensivo
Entender el pentesting no sirve solo para atacar, también es imprescindible para defender bien. El análisis forense digital, el threat hunting y la respuesta a incidentes se benefician directamente de conocer cómo piensa y actúa un atacante. El blue team que ha pasado por el lado ofensivo sabe qué buscar en los logs, qué indicadores de compromiso (IOCs) son relevantes y cómo priorizar las alertas de su SIEM.
Por eso los roles híbridos de purple team, que combinan perspectiva ofensiva y defensiva, cada vez se valoran más. Y por eso el pentesting no es una herramienta solo para empresas que «ya tienen seguridad»: es la forma más honesta de saber si esa seguridad funciona de verdad.
Preguntas frecuentes
¿El pentesting es legal?
Sí, siempre que se cuente con autorización escrita del propietario del sistema. Sin ese permiso, cualquier acceso no autorizado es delito bajo el artículo 197 bis del Código Penal español, independientemente de la intención. Firmar un contrato de alcance antes de empezar es un requisito no negociable en el pentesting profesional.
¿Cuánto tiempo dura un pentest?
Depende del alcance. Un pentest web de una aplicación de tamaño medio puede durar entre 3 y 10 días laborables. Un test de red interna de una empresa mediana puede extenderse varias semanas. Un ejercicio de red team completo puede durar meses. El alcance definido en el contrato determina la duración.
¿Qué diferencia hay entre un pentest y un escaneo de vulnerabilidades?
Un escaneo de vulnerabilidades (con herramientas como Nessus, OpenVAS o Qualys) es automatizado: detecta vulnerabilidades conocidas pero no las explota ni evalúa su impacto real. Un pentest es manual, contextual y va más allá: el profesional encadena vulnerabilidades, escala privilegios y demuestra el impacto real de una brecha. El escaneo dice «esto podría ser un problema»; el pentest demuestra si lo es.
¿Necesito saber programar para ser pentester?
No es imprescindible al principio, pero sí muy recomendable para avanzar. Python es el lenguaje más útil para automatizar tareas, modificar exploits y desarrollar herramientas propias. Bash hace falta para trabajar con comodidad en Linux. A nivel avanzado, conocimientos de C, C++ o Assembly abren la puerta a la investigación de vulnerabilidades y el desarrollo de exploits personalizados.
¿Qué es un bug bounty y en qué se diferencia del pentesting?
Un bug bounty es un programa donde una empresa ofrece recompensas económicas a investigadores externos que encuentren y reporten vulnerabilidades de forma responsable. A diferencia del pentesting (que tiene un alcance, un cliente y un plazo fijo), el bug bounty es abierto: cualquier investigador puede participar, no hay plazo y la recompensa depende de la gravedad del hallazgo. Es una forma complementaria de validar la seguridad y una fuente de ingresos para pentesters independientes.
¿Cuáles son las primeras herramientas que debería aprender?
Para quien empieza, el orden recomendado por la comunidad es: dominar la línea de comandos de Linux, aprender Nmap para escaneo de redes, familiarizarse con Burp Suite Community para web, practicar con Metasploit en laboratorios controlados y usar Wireshark para entender el tráfico de red. Con estas cinco herramientas se cubre la base de cualquier pentest sencillo y se puede abordar el eJPT o los primeros retos de TryHackMe.
