Su plataforma aguanta el tráfico de un martes cualquiera. La pregunta es qué pasa el día de la campaña, el día de la matrícula o el día en que alguien decide tirarla. Y sobre todo: qué se rompe primero, porque eso no se adivina, se mide.
Tres preguntas distintas
Carga
¿Cuánto aguanta?
Subimos la carga de forma progresiva hasta encontrar el punto en que los tiempos de respuesta se degradan. Ese número es su capacidad real, no la del folleto.
Estrés
¿Cómo se rompe?
Empujamos más allá del límite. Importa si degrada con elegancia o si cae en cascada arrastrando servicios que nadie relacionaba.
Resiliencia
¿Cómo se recupera?
Qué ocurre cuando la carga baja: si se recupera solo, en cuánto tiempo y si queda algún dato por el camino.
Qué probamos
Aplicaciones web y API con escenarios que reproducen el uso real, no peticiones planas contra la portada.
Infraestructura: balanceadores, servidores de aplicaciones, colas y bases de datos, para localizar el cuello de botella concreto.
Escalado: si el autoescalado responde a tiempo o llega cuando el usuario ya se ha ido.
Resistencia a denegación de servicio: capa de aplicación y capa de red, con alcance pactado y siempre en entorno controlado.
Comportamiento de las protecciones: qué hace su WAF o su CDN bajo presión y si bloquea a usuarios legítimos.
Cómo trabajamos
1
Objetivos y métricas
Qué volumen quiere soportar, con qué tiempo de respuesta aceptable y en qué escenario. Sin objetivo numérico no hay prueba, hay curiosidad.
2
Modelado de escenarios
Reproducimos el recorrido real de sus usuarios, con proporciones realistas entre navegación, búsqueda y operaciones que escriben en base de datos.
3
Ejecución progresiva
De menos a más, con monitorización en cada capa para saber qué se satura primero.
4
Análisis del límite
Identificamos el componente exacto que limita y por qué: CPU, memoria, conexiones a base de datos, bloqueos o límites de configuración.
5
Informe y recomendaciones
Con la curva de degradación, el punto de ruptura y qué tocar para mover ese punto.
6
Reprueba
Tras los ajustes, repetimos para verificar la mejora con datos.
Qué recibe
Capacidad máxima real con tiempos de respuesta aceptables.
Punto de ruptura y comportamiento del sistema al superarlo.
Cuello de botella identificado, con la evidencia de monitorización que lo demuestra.
Recomendaciones concretas de configuración o arquitectura, priorizadas por relación entre coste y mejora.
Comparativa antes y después de los ajustes.
Quién lo ejecuta. El mismo equipo que audita, no un perfil comercial. En gobierno, riesgo y cumplimiento: CISSP, CISM, ISO 27001 Lead Auditor, ENS y Análisis de Riesgos (CCN), DPD/DPO certificado, CCSP y CDPP (ISMS Forum) y PMP (PMI). En la parte técnica: OSCP, CRTO II y eWPTX, con presencia en el Top 1 % de la plataforma Atenea del CCN-CERT.
Preguntas que nos hacen
¿Se puede hacer en producción?
Se puede, con ventana pactada, criterios de parada y su equipo delante. Pero siempre que exista un entorno equivalente, es mejor empezar ahí y dejar producción para una validación final acotada.
¿Esto es una auditoría de seguridad?
Es una prueba de disponibilidad, que es una de las tres dimensiones clásicas de la seguridad y la que más se olvida. El ENS la exige expresamente y DORA la sitúa en el centro de la resiliencia operativa.
Estamos en cloud con autoescalado. ¿Nos hace falta?
Más todavía, por dos motivos: el autoescalado tarda en reaccionar y ese retraso se nota, y además conviene saber cuánto le va a costar en factura una punta de tráfico antes de que llegue.
¿Prueban también denegación de servicio?
Sí, en entorno controlado, con alcance pactado y avisando a su proveedor cuando corresponde. Nunca contra infraestructura de terceros sin autorización expresa.
Sepa dónde está su límite antes de encontrarlo en producción
Media hora con un auditor para definir objetivos de carga y acotar la prueba.
Teléfono: +34 686 250 244 (L-V, 9:00 a 18:00) · Email: info@jaymonsecurity.com
Respondemos en 2 horas dentro del horario laboral.
