> For the complete documentation index, see [llms.txt](https://beafn28.gitbook.io/beafn28/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://beafn28.gitbook.io/beafn28/reviews-certificaciones/emaptv2.md). # eMAPTv2 ### Contexto y motivación Decidí preparar y afrontar la **eMAPT (eLearn Mobile Application Penetration Tester)** porque quería **salir de mi zona de confort**. Venía de pentesting web, Active Directory y CTFs, y el **mobile app pentesting** es claramente una de las áreas más demandadas hoy en AppSec. El objetivo no era solo sumar una certificación, sino **entender cómo se rompen aplicaciones móviles reales**, tanto en Android como en iOS, y validar ese conocimiento con un examen práctico. ### Qué cubre realmente la eMAPT La certificación se centra en **pentesting de aplicaciones móviles Android e iOS**, con un enfoque claro en análisis estático, bypasses y explotación de malas prácticas comunes. Durante la preparación y el examen se trabajan, entre otros, los siguientes puntos: * **Análisis estático y reverse engineering** de aplicaciones Android e iOS * Uso de **jadx-gui** para análisis de código y binarios * **Bypass de root / jailbreak detection** * **Bypass de SSL pinning** usando **Frida** * Identificación de: * componentes Android inseguros * configuraciones incorrectas en el `AndroidManifest` * Evaluación de: * malas prácticas de almacenamiento * fallos de lógica de negocio * Explotación de **debilidades habituales en aplicaciones móviles reales** ### Formato del examen (actualizado) * Duración: **12 horas** * Sin proctoring * Entorno Linux preconfigurado (web-based) * Aplicaciones entregadas: **2 IPA** * El objetivo es: * analizar las apps * identificar vulnerabilidades * responder preguntas (formato test o escribir contraseña u otra cosa) ### Preparación seguida La preparación combinó **teoría + práctica:** #### Teoría * Módulos de HTB sobre Android e IOS * Estudio específico de: * SSL pinning * Frida * root / jailbreak detection #### Práctica * **Mobile Hacking Labs** * Análisis de múltiples apps vulnerables * Revisión manual de decenas de `AndroidManifest.xml` Aquí está la clave: **sin práctica, no se aprueba**.\ El examen cas ### Experiencia durante el examen El examen no me parece largo para las horas que se dan pero bueno está equilibrado: * Android ocupa buena parte del tiempo inicial * En el análisis dinámico requiere cambiar de mentalidad pero da tiempo suficiente * El entorno está listo para trabajar y las herramientas necesarias * Hay margen para revisar y validar hallazgos ### Puntos positivos * Certificación **muy práctica** * Buen equilibrio Android / iOS * Examen realista, no artificial * Refuerza muchísimo: * análisis estático * análisis dinámico * Muy alineada con el trabajo real en mobile security ### Aspectos mejorables Aunque la experiencia general ha sido positiva, hay dos puntos que, en mi opinión, se pueden mejorar: * El **entorno basado en Guacamole** no es el más cómodo para largas sesiones * **No hay informe final**, lo cual resta valor desde un punto de vista profesional (reporting es parte clave del pentesting) No son bloqueantes, pero sí mejorables. ### ¿Para quién es esta certificación? La eMAPT es ideal si: * Ya tienes base en seguridad ofensiva * Quieres entrar en **mobile application security** * Buscas algo **práctico y reconocido** * Te interesa AppSec más allá de web No es para empezar desde cero absoluto, pero **sí para especializarte**. ### Conclusión La **eMAPT** es una certificación **exigente, práctica y bien enfocada**.\ No te enseña solo herramientas: te enseña **a pensar como un auditor de aplicaciones móviles**. Si se complementa con: * laboratorios de mobile hacking * módulos de Android e iOS en HTB * práctica constante …es una muy buena validación de conocimientos reales en **Mobile AppSec**.