Todo lo que preguntan antes de contratar PerimetroX

PerimetroX es una plataforma de External Attack Surface Management (EASM) diseñada para descubrir, analizar y priorizar la exposición que una organización presenta hacia Internet.

El análisis parte desde un activo raíz autorizado —como un dominio o una dirección IP— y construye desde allí una visión de la superficie externa: identifica activos relacionados, determina cuáles pertenecen al alcance de la organización, analiza servicios y tecnologías expuestas, examina aplicaciones web y APIs, valida hallazgos y consolida la evidencia en resultados accionables.

PerimetroX integra descubrimiento, atribución, análisis técnico, validación, consolidación, priorización y generación de reportes dentro de un proceso trazable. Los planes que incluyen Portal de Clientes mantienen además inventario, hallazgos, histórico de evaluaciones y archivos descargables en una zona privada.

EASM significa External Attack Surface Management, o Gestión de la Superficie de Ataque Externa.

Consiste en observar una organización desde Internet para identificar qué activos existen, cuáles están realmente accesibles, qué servicios y tecnologías exponen, qué relaciones existen entre ellos y dónde se concentran los principales riesgos.

PerimetroX transforma esa superficie externa en un proceso estructurado: descubrimiento → atribución → validación → análisis → evidencia → priorización.

El resultado es una visión clara y trazable de la exposición real de la organización desde el exterior.

PerimetroX analiza la superficie externa autorizada de una organización, incluyendo:

• Dominios y subdominios.
• Direcciones IP relacionadas.
• Puertos y servicios expuestos.
• Tecnologías y versiones detectadas.
• Certificados TLS y configuración de cifrado.
• Aplicaciones y portales web.
• APIs y endpoints.
• Virtual hosts.
• Rutas y directorios.
• Archivos accesibles.
• Archivos JavaScript.
• Parámetros web.
• Cabeceras de seguridad.
• Vulnerabilidades conocidas.
• Exposición de información sensible.
• Recursos cloud observables externamente.
• Dispositivos CCTV e IoT expuestos.
• Relaciones entre infraestructura propia y servicios de terceros.

PerimetroX separa la infraestructura atribuible directamente a la organización de aquella que pertenece a CDN, hosting compartido, proveedores cloud u otros terceros. La presencia de un activo relacionado nunca se interpreta automáticamente como propiedad del cliente.

Sí. Ese es uno de los objetivos principales del EASM.

A partir del activo raíz autorizado, PerimetroX descubre subdominios, hosts, direcciones IP y otros elementos relacionados que no necesariamente están presentes en el inventario interno de la organización.

Esto identifica situaciones como:

• Sistemas antiguos que siguen respondiendo.
• Ambientes de prueba o staging.
• Subdominios olvidados.
• Servicios publicados innecesariamente.
• Infraestructura migrada o abandonada.
• Activos creados fuera de los procesos normales de inventario.

Cada descubrimiento conserva evidencia y clasificación. Los activos que exceden el alcance comercial o no cumplen los criterios técnicos permanecen separados del conjunto efectivamente analizado.

No. PerimetroX realiza el análisis desde Internet y no requiere instalar agentes en estaciones de trabajo, servidores, dispositivos de red ni otros sistemas internos.

La evaluación se ejecuta exclusivamente sobre la superficie externa autorizada.

No. El análisis EASM estándar de PerimetroX funciona sin credenciales internas y sin acceso administrativo a los sistemas de la organización.

La evaluación refleja lo que un tercero externo observa desde Internet sin disponer previamente de acceso interno.

No. PerimetroX es una plataforma EASM.

Un pentest tradicional se concentra normalmente en sistemas específicos y profundiza en explotación, escalamiento o demostración de impacto.

PerimetroX aborda primero una problemática distinta: descubrir y comprender la superficie de ataque externa completa dentro del alcance contratado.

El proceso identifica activos, servicios, tecnologías, vulnerabilidades, aplicaciones, APIs, exposición cloud y otros elementos visibles desde Internet, y utiliza validaciones activas para distinguir señales de hallazgos respaldados por evidencia.

El servicio EASM estándar no realiza denegación de servicio, persistencia, exfiltración ni alteración destructiva de sistemas.

No. Ambos servicios cumplen funciones diferentes y complementarias.

EASM responde: ¿Qué está exponiendo actualmente mi organización hacia Internet y qué requiere atención primero?

Un pentest responde: ¿Hasta dónde llega un atacante al explotar determinados sistemas o vulnerabilidades?

PerimetroX identifica y prioriza la superficie que merece investigación. Un pentest profundiza posteriormente en objetivos concretos.

No. Firewall, antivirus y EDR protegen otros niveles de la infraestructura.

PerimetroX entrega la perspectiva externa: qué está mostrando realmente la organización hacia Internet.

Una empresa mantiene buenos controles internos y al mismo tiempo conserva subdominios olvidados, aplicaciones antiguas, servicios innecesariamente publicados, configuraciones inseguras o tecnologías desactualizadas.

PerimetroX identifica esa exposición externa y la convierte en información priorizada para los equipos de TI y ciberseguridad.

Porque la visión interna y la visión externa resuelven problemas distintos.

Los equipos TI conocen los sistemas administrados oficialmente. PerimetroX reconstruye lo que Internet observa, incluyendo elementos que dejaron de estar correctamente inventariados.

La superficie cambia constantemente mediante:

• Nuevos despliegues.
• Migraciones.
• Pruebas.
• Servicios cloud.
• Cambios DNS.
• Proveedores.
• Aplicaciones temporales.
• Infraestructura antigua que sigue operativa.

PerimetroX entrega una visión independiente y consolidada para que el equipo no dependa únicamente de su inventario interno ni de la correlación manual de múltiples herramientas.

Porque la finalidad es identificar exposición antes de que produzca un incidente.

No haber sufrido un ataque conocido no demuestra que la superficie externa esté correctamente inventariada o protegida.

Un sistema antiguo, una aplicación de prueba, un servicio innecesario o una tecnología vulnerable permanecen expuestos sin generar necesariamente alertas internas.

PerimetroX permite detectar esos puntos antes de que aparezcan durante una auditoría, una investigación o un incidente real.

PerimetroX entrega un resultado consolidado que incluye:

• Resumen ejecutivo.
• Inventario de activos.
• Dominios, subdominios e IP.
• Puertos y servicios.
• Tecnologías detectadas.
• Vulnerabilidades y exposiciones.
• Hallazgos verificados activamente.
• Certificados y configuración TLS.
• Análisis de superficie web.
• Rutas y recursos relevantes.
• Evidencia técnica.
• Clasificación por severidad.
• Priorización.
• Recomendaciones.
• Informe PDF consolidado.

Los paquetes con Portal de Clientes incluyen además una plataforma privada para explorar el inventario, revisar hallazgos y evidencias, consultar evaluaciones anteriores y descargar los entregables disponibles.

Sí. El informe de PerimetroX está estructurado para dos audiencias.

El nivel ejecutivo resume el estado general de exposición, los principales riesgos y las prioridades de actuación para dirección, gerencia, responsables de riesgo y otras áreas no técnicas.

El nivel técnico conserva la información necesaria para que los equipos de TI y ciberseguridad localicen activos, revisen servicios, tecnologías, vulnerabilidades, evidencia y recomendaciones.

Cada hallazgo responde a cinco preguntas: qué se encontró, dónde se encontró, por qué importa, qué evidencia lo respalda y qué acción requiere evaluación.

PerimetroX distingue claramente entre señales, asociaciones técnicas, vulnerabilidades potenciales y hallazgos verificados.

Una tecnología asociada a una CVE no recibe automáticamente el mismo tratamiento que una vulnerabilidad comprobada.

Una cadena encontrada en un archivo tampoco se presenta automáticamente como una credencial activa.

Un recurso cloud relacionado tampoco se atribuye automáticamente al cliente.

Cada resultado incorpora contexto, evidencia, severidad y estado de verificación. PerimetroX evita presentar como hechos aquellas conclusiones que la evidencia técnica no respalda.

PerimetroX está diseñado para reducir al mínimo el impacto operacional. El motor incorpora:

• Controles de alcance.
• Exclusiones.
• Límites de tasa.
• Timeouts.
• Watchdogs.
• Límites de recursos.
• Protección contra respuestas wildcard.
• Protección contra falsos positivos soft-200.
• Controles de expansión.
• Validaciones previas y posteriores.

Algunas etapas realizan interacción activa con los servicios autorizados para confirmar qué está realmente accesible. El análisis estándar evita técnicas destructivas y mantiene la ejecución dentro de los parámetros definidos para cada evaluación.

No. El servicio EASM estándar de PerimetroX excluye:

• Denegación de servicio.
• Exfiltración de información.
• Acceso persistente.
• Alteración de sistemas.
• Ingeniería social.
• Explotación destructiva.

El objetivo es obtener evidencia de seguridad útil sin transformar el análisis en un ataque contra la infraestructura del cliente.

Cada análisis comienza con un activo raíz expresamente autorizado. La plataforma trabaja con siete niveles:

• Raíz/Micro: 1 dominio y su IP relacionada.
• Esencial: hasta 8 dominios o subdominios y sus IP relacionadas.
• Estándar: hasta 15 dominios o subdominios y sus IP relacionadas.
• Avanzado: hasta 25 dominios o subdominios y sus IP relacionadas.
• Exhaustivo: hasta 35 dominios o subdominios y sus IP relacionadas.
• Ampliado: hasta 50 dominios o subdominios y sus IP relacionadas.
• Corporativo: hasta 75 dominios o subdominios y sus IP relacionadas (el techo del catálogo).

A partir del activo raíz, PerimetroX descubre activos derivados y determina su incorporación según atribución técnica, plan contratado, límites de dominios e IP, exclusiones y autorizaciones existentes.

El cliente también declara subdominios adicionales que desea garantizar dentro del análisis, respetando los límites de cada plan.

El alcance queda registrado antes de la ejecución y protegido mediante una huella criptográfica que preserva la integridad de la configuración utilizada.

Sí. PerimetroX permite definir exclusiones de dominios antes del análisis.

Sí. Los planes con Portal de Clientes incluyen la sección "Exclusiones e Inclusiones", donde se puede excluir un dominio o una IP del análisis (dejan de escanearse desde la siguiente evaluación, sin borrar los resultados anteriores donde sí aparecieron) e incluir dominios e IP adicionales dentro del cupo del plan contratado.

Los dominios que se pueden incluir se limitan a subdominios del dominio raíz autorizado, y las direcciones IP a aquellas que el propio análisis ya identificó como parte de la infraestructura relacionada; el dominio raíz siempre permanece protegido y no puede excluirse.

Cada cambio queda registrado con fecha, autor y un anexo legal versionado que se suma al expediente sin modificar el contrato ni el alcance original firmado, y se aplica automáticamente desde la siguiente evaluación.

Sí, el límite depende del plan contratado: el mismo número de dominios o subdominios de cada nivel de cobertura (por ejemplo, hasta 15 en el plan Estándar o hasta 75 en el plan Corporativo). Mientras se realizan cambios en "Exclusiones e Inclusiones", el portal muestra en todo momento cuánto cupo queda disponible.

El análisis comienza una vez completado el proceso de contratación, definido el alcance, aceptadas las autorizaciones correspondientes y confirmado el pago.

El flujo actual es: contratación → autorización → facturación → pago → programación → análisis → entrega de resultados.

Después de confirmar el pago, PerimetroX habilita el proceso privado de programación de los escaneos contratados.

Sí. Además de la Evaluación Puntual (un único análisis), PerimetroX ofrece Monitoreo Perimetral y Monitoreo Perimetral Extendido, con duración de 1, 3, 6 o 12 meses. Según el servicio y la duración elegidos, el paquete incluye entre 4 y 96 evaluaciones.

Los paquetes de mayor volumen reducen progresivamente el precio por evaluación.

Este modelo permite elegir entre una fotografía puntual de la superficie externa o varias evaluaciones distribuidas en el tiempo para observar su evolución.

Todos los paquetes corresponden a pago único y no tienen renovación automática.

Porque la superficie externa cambia continuamente. Entre dos evaluaciones aparecen cambios como:

• Nuevos activos.
• Sistemas retirados.
• Nuevas direcciones IP.
• Servicios abiertos o cerrados.
• Tecnologías actualizadas.
• Vulnerabilidades corregidas.
• Nuevas exposiciones.
• Cambios de proveedores o infraestructura.

Las evaluaciones sucesivas permiten comparar periodos, identificar activos nuevos, revisar qué dejó de responder y determinar qué hallazgos siguen presentes.

Repetir un análisis transforma una fotografía aislada en seguimiento de la evolución real de la exposición externa.

Sí. Después de confirmar el pago, el cliente recibe acceso al calendario privado de su servicio. Las reglas son:

• Evaluación puntual: se selecciona libremente una fecha.
• Monitoreo Perimetral y Monitoreo Perimetral Extendido: se selecciona una fecha de inicio y el resto de las evaluaciones se distribuye automáticamente (aproximadamente una por semana en Monitoreo Perimetral, dos por semana en Monitoreo Perimetral Extendido), ajustable dentro de los límites de abajo.

Cada evaluación de PerimetroX realiza un análisis profundo de tu superficie externa, no un chequeo superficial: por eso exigimos una separación mínima de 3 días corridos entre el inicio de dos evaluaciones consecutivas, para que cada una tenga tiempo real de ejecutarse y correlacionarse antes de que empiece la siguiente. La fecha de inicio se programa dentro de los 30 días corridos siguientes a la compra y debe caer en un día hábil.

El plazo para completar el servicio corresponde a la duración contratada (1, 3, 6 o 12 meses). El último escaneo debe quedar dentro de ese plazo.

No. Los reportes, inventarios, hallazgos y evidencias de PerimetroX se tratan como información privada.

El Portal de Clientes utiliza Cloudflare Access como sistema de autenticación y valida criptográficamente la identidad antes de permitir el acceso.

Los archivos se entregan dentro de rutas autenticadas y no se publican como documentos abiertos accesibles mediante URLs públicas.

No. Cada cliente opera dentro de su propio contexto de datos. El sistema separa:

• Usuarios.
• Inventarios.
• Hallazgos.
• Evidencias.
• Reportes.
• Archivos.
• Permisos.

La autorización se evalúa antes de entregar información y el acceso falla cerrado ante identidades inválidas o cuentas no autorizadas.

La información de una organización no se mezcla con la de otros clientes.

No. PerimetroX no vende datos personales ni información técnica identificable de sus clientes.

Los datos tratados durante la relación comercial y la prestación del servicio se utilizan para:

• Gestionar la contratación.
• Prestar el servicio EASM.
• Proporcionar acceso al portal.
• Proteger la plataforma.
• Mantener trazabilidad.
• Cumplir obligaciones legales, contables y tributarias.

La información técnica obtenida durante los análisis se mantiene asociada al cliente correspondiente y se trata bajo las obligaciones de confidencialidad aplicables.

PerimetroX entrega capacidades EASM avanzadas mediante un modelo simple, transparente y directamente utilizable. La contratación funciona así:

• Eliges el nivel de cobertura.
• Eliges la cantidad de escaneos.
• Defines el origen del análisis.
• Autorizas el activo raíz y el alcance.
• PerimetroX descubre y analiza la superficie relacionada.
• Recibes evidencia, priorización y reportes.
• Los paquetes correspondientes incorporan Portal de Clientes e histórico.

El precio se define antes del análisis. Encontrar más puertos, servicios, tecnologías, directorios, dispositivos o vulnerabilidades dentro del alcance no genera cobros adicionales por cada elemento descubierto.

PerimetroX concentra el servicio en visibilidad, evidencia y resultados accionables, sin exigir que el cliente opere una plataforma EASM compleja por su cuenta.

El precio depende de tres elementos:

• Nivel de cobertura: Raíz/Micro, Esencial, Estándar, Avanzado, Exhaustivo, Ampliado o Corporativo.
• Servicio y cantidad de evaluaciones: 1 para Evaluación Puntual, o entre 4 y 96 según la duración elegida (1, 3, 6 o 12 meses) de Monitoreo Perimetral o Monitoreo Perimetral Extendido.
• Origen del análisis: según la cobertura geográfica seleccionada.

Los precios vigentes aparecen en la página de Paquetes. El precio definitivo se calcula en el servidor utilizando las reglas comerciales activas. El navegador no define ni modifica precios.

La cotización registra moneda, precio neto, impuesto, total, vigencia, condiciones de pago y configuración contratada.

Una contratación ya emitida conserva su propia información comercial aunque posteriormente cambie el catálogo público de precios.

No. PerimetroX trabaja actualmente con paquetes prepagados de evaluaciones, sin suscripción anual y sin permanencia.

El tamaño depende del servicio y la duración elegidos: desde 1 evaluación (Evaluación Puntual) hasta 96 evaluaciones (Monitoreo Perimetral Extendido de 12 meses).

Cada paquete corresponde a un pago único y no tiene renovación automática. El cliente contrata exactamente la cantidad de evaluaciones que necesita.

No. Antes de contratar quedan definidos:

• Plan.
• Número de escaneos.
• Origen.
• Moneda.
• Precio neto.
• Impuesto.
• Total.
• Vigencia.
• Condiciones comerciales.

La cantidad de activos, puertos, servicios, tecnologías, directorios o vulnerabilidades encontrados dentro del alcance contratado no modifica posteriormente el precio.

Los requerimientos que quedan fuera de las combinaciones comerciales estándar se revisan y cotizan antes de su ejecución.

Sí. PerimetroX aporta evidencia técnica para programas de seguridad, gestión de riesgo y cumplimiento mediante:

• Inventario de exposición externa.
• Activos descubiertos.
• Evidencia técnica.
• Clasificación y priorización.
• Histórico de evaluaciones.
• Reportes.
• Trazabilidad del alcance.
• Registro de resultados.

Estos elementos respaldan procesos de auditoría, gestión de riesgos, controles internos y programas de ciberseguridad.

PerimetroX no se presenta como una certificación normativa. La certificación o conformidad formal depende del marco específico y del conjunto completo de controles de la organización.

Sí. El reporte entrega evidencia técnica documentada sobre:

• Fecha de evaluación.
• Alcance autorizado.
• Activos analizados.
• Exposición observada.
• Servicios.
• Vulnerabilidades.
• Hallazgos.
• Severidad.
• Evidencia.
• Recomendaciones.
• Evolución entre evaluaciones.

Esto permite utilizar el informe como respaldo en auditorías, revisiones internas, comités de riesgo, procesos de remediación y seguimiento de seguridad.

El reporte documenta claramente qué se analizó y qué se observó durante la evaluación.

Los hallazgos críticos reciben prioridad inmediata. PerimetroX conserva y presenta:

• Activo afectado.
• Descripción del hallazgo.
• Severidad.
• Evidencia técnica.
• Estado de verificación.
• Contexto.
• Recomendación correspondiente.

Esa información queda disponible en el reporte y, para los planes con Portal de Clientes, también en la plataforma privada, para que el equipo responsable pueda priorizar la remediación de inmediato.

Sí. Una vez que una combinación de RUT y dominio contratado calificó para el Portal de Clientes con cualquiera de sus compras, todas las compras siguientes de ese mismo RUT para ese mismo dominio también incluyen portal, aunque el paquete individual sea más chico que el umbral vigente.

Esto no se hereda entre dominios distintos: un dominio nuevo de la misma empresa (por ejemplo, otra marca o sitio corporativo) empieza desde cero y sigue el umbral normal por plan y cantidad de escaneos.

Depende del plan contratado:

• Raíz/Micro: desde 4 escaneos del paquete.
• Esencial: desde 4 escaneos del paquete.
• Estándar, Avanzado, Exhaustivo, Ampliado y Corporativo: siempre, desde 1 escaneo.

Estos umbrales se evalúan sobre el paquete comprado, salvo que ya aplique la regla de portal permanente por RUT y dominio (ver la pregunta anterior).

El PDF es una fotografía de un momento puntual. El Portal de Clientes es una plataforma privada permanente donde se puede:

• Explorar el inventario de activos analizados.
• Revisar hallazgos con su evidencia técnica.
• Comparar evaluaciones entre distintos períodos para ver qué cambió.
• Descargar los entregables disponibles cuando se necesiten.

Nada de esto depende de guardar y volver a buscar un archivo enviado por correo.

Sí. PerimetroX tiene una demo interactiva del portal con datos ficticios de una empresa de ejemplo, sin necesidad de contratar ni de entregar ningún dato real.

En la demo puedes explorar el score de exposición, el inventario de activos por categoría, los hallazgos con su evidencia técnica y la comparación entre varias evaluaciones, tal como se ve en el portal real de un cliente.

Recibes un enlace privado y permanente para descargar tu informe PDF, sin necesidad de una cuenta de portal.

Cada vez que uses ese enlace, PerimetroX te envía por correo un código de un solo uso que debes ingresar antes de poder descargar el archivo, de modo que el enlace por sí solo nunca es suficiente para acceder al reporte.

Si más adelante contratas un paquete que sí incluye Portal de Clientes (ver la pregunta sobre los umbrales por plan), pasas a acceder también a la plataforma privada.

El Portal de Clientes incluye un botón de ayuda fijo, visible en toda la plataforma, desde donde se puede reportar un problema eligiendo una categoría y una subcategoría (acceso a la cuenta, reportes y resultados, alcance del análisis, calendario de escaneos, facturación, contratación, funcionamiento del portal u otro motivo) y describiendo la situación.

El equipo de PerimetroX revisa y responde cada solicitud desde su panel administrativo. La respuesta queda disponible en la sección "Mis solicitudes" del portal y además se envía por correo a quien reportó el problema; desde esa misma sección se pueden agregar nuevos mensajes a una solicitud ya abierta.

Sí. Después de cada análisis nuevo, el portal sugiere automáticamente una breve encuesta de satisfacción, con una calificación de 1 a 5 estrellas y un comentario opcional.

También puede completarse en cualquier otro momento desde el mismo botón de ayuda, en la pestaña "Calificar el servicio".