Convertirte en pentester (probador de penetración o hacker ético) es uno de los objetivos más atractivos de la ciberseguridad, y la buena noticia es que se puede empezar desde cero. No necesitas un don especial ni una carrera concreta: necesitas un camino ordenado, mucha práctica y constancia. En esta guía tienes el roadmap completo para ser pentester, fase por fase, con los conocimientos, las certificaciones y los recursos que te conviene en cada etapa. Si quieres ver la ruta resumida de certificaciones, también la tienes en el itinerario de Seguridad Ofensiva.
¿Qué hace un pentester?
Un pentester simula ataques reales —de forma ética y autorizada— para encontrar las vulnerabilidades de una organización antes de que las exploten los ciberdelincuentes. Su trabajo no es «romper por romper»: consiste en evaluar sistemas, redes y aplicaciones, explotar fallos de forma controlada y, sobre todo, documentar todo en un informe que ayude a la empresa a corregir. Un buen pentester combina conocimiento técnico, metodología rigurosa y capacidad de comunicar lo que encuentra.
El día a día puede incluir pruebas de penetración a aplicaciones web, redes internas y externas, entornos cloud, dispositivos móviles o incluso ingeniería social. Hay quien trabaja en una consultora rotando entre clientes, quien forma parte de un equipo interno (red team) y quien se dedica al bug bounty por su cuenta.
Tipos de pentesting
No todo el pentesting es igual. Conocer las grandes modalidades te ayuda a orientar tu aprendizaje:
- Pentesting de aplicaciones web: el más demandado. Se centra en fallos como inyecciones, XSS o problemas de autenticación.
- Pentesting de redes (interno y externo): evaluar la infraestructura, servicios expuestos y la red interna de una organización.
- Pentesting de Active Directory: clave en entornos empresariales Windows; aquí entran el movimiento lateral y la escalada de privilegios en el dominio.
- Pentesting móvil y cloud: especialidades en auge a medida que todo se mueve a apps y a la nube.
- Red team: simulaciones de adversario completas, más allá de una auditoría puntual.
Muchos pentesters empiezan siendo generalistas y, con el tiempo, se especializan en una o dos de estas áreas.
¿Se puede empezar de cero?
Sí. Mucha gente llega al pentesting desde la administración de sistemas, las redes, el desarrollo o directamente desde fuera del sector. Lo que de verdad importa es construir una base sólida y demostrar lo que sabes hacer. Eso sí, ármate de paciencia: es un camino de meses (o años) de aprendizaje continuo, y precisamente esa curva es la que hace que el perfil esté tan valorado.
Fase 1 · Construye los fundamentos
Antes de «hackear» nada, necesitas entender cómo funciona aquello que vas a atacar. Esta fase es la que más gente se salta y la que más frustración evita. Domina:
- Redes y TCP/IP: cómo viaja la información, puertos, protocolos (HTTP, DNS, SMB…), modelo OSI, subnetting básico. Es el pilar de todo.
- Sistemas operativos: maneja Linux con soltura (línea de comandos, permisos, servicios) y entiende Windows (usuarios, Active Directory a nivel conceptual).
- Programación y scripting: empieza con Bash y Python. No necesitas ser desarrollador, pero saber automatizar y leer código te dará una ventaja enorme.
- Conceptos de seguridad: la tríada CIA (confidencialidad, integridad, disponibilidad), tipos de amenazas y vocabulario básico.
Si partes de cero absoluto, nuestro itinerario Nuevo en Ciber está pensado justo para esta etapa.
Fase 2 · Aprende seguridad ofensiva
Con la base asentada, entra en materia ofensiva. Aquí aprendes la metodología del pentesting, que se repite en casi cualquier auditoría:
- Reconocimiento: recopilar información del objetivo.
- Enumeración: descubrir servicios, versiones y posibles puntos débiles.
- Explotación: aprovechar una vulnerabilidad para conseguir acceso.
- Post-explotación: escalar privilegios, moverte lateralmente y mantener el acceso.
- Informe: documentar hallazgos y recomendaciones.
Familiarízate con herramientas estándar como Nmap (escaneo), Burp Suite (web), Metasploit (explotación) o Wireshark (tráfico). No se trata de memorizar comandos, sino de entender qué hace cada una y cuándo usarla.
Fase 3 · Practica en laboratorios
Aquí está el secreto: en pentesting se aprende haciendo. Por mucha teoría que veas, lo que te convierte en pentester es resolver máquinas. Plataformas recomendadas:
- TryHackMe — muy guiada, ideal para empezar. Tienes nuestra reseña de TryHackMe.
- Hack The Box — máquinas de dificultad creciente para cuando ya tengas algo de nivel.
- Proving Grounds de OffSec — muy alineadas con el estilo de la OSCP.
Además, monta tu propio laboratorio en casa con máquinas virtuales (VirtualBox es gratis): una Kali Linux como atacante y alguna máquina vulnerable como objetivo. Es gratis, legal y se aprende muchísimo. La clave de esta fase es la constancia: mejor una máquina al día que un maratón ocasional.
Fase 4 · Certifícate
Las certificaciones te dan estructura de estudio y un sello reconocible para tu currículum. Una progresión típica en pentesting:
- Primera certificación práctica: la eJPT, asequible y sin requisitos, perfecta para validar tus primeros pasos.
- Reconocimiento corporativo: la CEH es habitual como mérito en ofertas de grandes empresas y administración.
- La referencia del sector: la OSCP, un examen práctico de 24 horas que demuestra habilidad real y es la que más diferencia en perfiles técnicos.
No tienes que hacerlas todas ni a la vez: elige según tu nivel y tu objetivo. Si dudas, te ayudamos a decidir en nuestra comparativa OSCP vs CEH y en el listado de mejores certificaciones de pentesting.
Fase 5 · Especialízate
El pentesting es amplio. Cuando domines lo general, profundiza en un área:
- Pentesting web (una de las salidas con más demanda).
- Active Directory y red teaming (entornos empresariales).
- Pentesting móvil o de cloud.
- Desarrollo de exploits e ingeniería inversa (nivel avanzado).
Especializarte te hace más valioso y te abre roles mejor pagados. Muchos pentesters senior son referentes en un nicho concreto.
Habilidades más allá de lo técnico
La parte técnica es la mitad. Lo que diferencia a un gran pentester:
- Curiosidad y ganas de entender cómo funcionan las cosas.
- Inglés técnico: la mayoría de la documentación y herramientas están en inglés.
- Capacidad de comunicar: un informe claro vale tanto como el hallazgo. Saber explicar el riesgo al cliente es oro.
- Ética y responsabilidad: trabajas con sistemas y datos sensibles; la confianza es parte del puesto.
Construye tu portfolio
En seguridad ofensiva se valora lo que demuestras. Mientras aprendes, deja huella:
- Writeups: explica cómo resolviste máquinas (de las que lo permitan) en un blog.
- GitHub: sube tus scripts y herramientas propias.
- CTFs: participa en competiciones de retos; enseñan mucho y quedan muy bien en el currículum.
Un buen portfolio puede pesar tanto como una certificación a la hora de conseguir tu primera oportunidad.
Cómo conseguir tu primer empleo
Con base, alguna certificación y portfolio, el objetivo es entrar. Consejos:
- Apunta a puestos de entrada realistas (pentester junior, analista de seguridad) para coger experiencia.
- Cuida tu LinkedIn y conecta con la comunidad; muchas oportunidades llegan por contactos.
- No descartes prácticas o becas: son una vía de entrada muy habitual.
- Prepárate las entrevistas técnicas explicando tu metodología y tus writeups.
Salidas y proyección
El pentesting es un perfil con escasez de talento y buena proyección: pentester, consultor de seguridad ofensiva, red teamer o cazador de bugs en programas de bug bounty. Con experiencia puedes evolucionar hacia roles más especializados o de liderazgo técnico. Es una carrera en la que nunca dejas de aprender, y eso se traduce en demanda y salarios competitivos.
Errores comunes al empezar
- Saltarse los fundamentos e ir directo a explotar: la receta para frustrarse.
- Coleccionar cursos sin practicar: ver vídeos no es aprender; hay que ensuciarse las manos.
- Ir a por la OSCP demasiado pronto, sin base suficiente.
- Dispersarse tocando todo un poco sin profundizar en nada.
¿Cuánto se tarda en ser pentester?
Depende de tu punto de partida y de las horas que dediques, pero con constancia es realista pensar en varios meses hasta un par de años para optar a un puesto de entrada sólido. No es inmediato, pero tampoco hace falta una década: lo que cuenta es la regularidad y demostrar habilidades reales.
Herramientas imprescindibles del pentester
No necesitas dominarlas todas el primer día, pero conviene saber para qué sirve cada una:
- Nmap — escaneo de puertos y descubrimiento de servicios. El punto de partida de casi cualquier auditoría.
- Burp Suite — la herramienta de referencia para pentesting web: interceptar, analizar y manipular peticiones.
- Metasploit — framework de explotación con multitud de módulos listos para usar.
- Wireshark — análisis de tráfico de red, clave para entender qué ocurre «por debajo».
- Gobuster / ffuf — descubrimiento de directorios y ficheros ocultos en aplicaciones web.
- Hydra, John the Ripper y Hashcat — ataques de credenciales y crackeo de contraseñas.
- BloodHound — análisis de rutas de ataque en Active Directory.
Casi todas vienen preinstaladas en Kali Linux, la distribución pensada para pentesting. El consejo de siempre: aprende las herramientas resolviendo máquinas, no memorizando comandos sueltos. La herramienta es el martillo; lo que importa es saber cuándo y por qué darle al clavo.
Recursos para seguir aprendiendo
Más allá de las plataformas de laboratorios, rodéate de buenas fuentes y no estudies en una burbuja:
- Comunidad: Discords, foros y grupos de ciberseguridad donde resolver dudas y mantenerte al día.
- Writeups de otros: leer cómo resuelven máquinas otras personas enseña tanto como hacerlo tú.
- CTFs y conferencias: competiciones y eventos donde aprender, motivarte y hacer contactos profesionales.
- Documentación oficial: la de las propias herramientas suele ser la mejor (y más fiable) referencia.
Y sobre todo, mantén un sistema de notas propio: en este campo, organizar y repasar lo que aprendes es la mitad del trabajo. Lo que no anotas, se olvida.
Preguntas frecuentes (FAQ)
¿Necesito una carrera para ser pentester?
No es obligatoria. Se valora mucho la práctica, las certificaciones y el portfolio. Una titulación ayuda, pero no es un requisito imprescindible.
¿Necesito saber programar?
Ayuda mucho. Con scripting en Bash y Python tienes de sobra para empezar; ya irás profundizando.
¿Por qué certificación empiezo?
Por la eJPT si quieres algo práctico y asequible. La OSCP es el gran objetivo de nivel intermedio, no de inicio.
¿Es legal practicar hacking?
Sí, siempre que sea en entornos autorizados: plataformas de laboratorios, tu propio laboratorio o sistemas con permiso explícito. Atacar sistemas ajenos sin autorización es delito.
Tu siguiente paso: empieza por el itinerario Nuevo en Ciber si partes de cero, practica con los cursos gratuitos y traza tu ruta de certificaciones en Seguridad Ofensiva.
