Security+ y eJPT: lo que me dieron dos certificaciones muy distintas

Entre noviembre y diciembre de 2025 saqué dos certificaciones casi seguidas: CompTIA Security+ y eJPTv2. Desde fuera parecen dos casillas más en el currículum, pero son muy distintas y cada una me dejó algo diferente. Con algo de distancia, y después de haberlas puesto a prueba trabajando, me apetecía pararme a pensar qué me dio cada una de verdad.

Security+: el mapa

Security+ es un examen de tipo test con algunas preguntas prácticas (las famosas PBQ), y abarca muchísimo: criptografía, identidad, redes, gestión de riesgos, respuesta a incidentes, normativa… No te hace experto en nada. Lo que te da es el mapa.

Y el mapa vale más de lo que parece. Cuando empecé en el SOC, buena parte de lo que veía ya me sonaba: sabía qué era un IOC, por qué importa el principio de mínimo privilegio, qué diferencia hay entre un IDS y un IPS. No lo dominaba, pero sabía dónde estaba cada cosa y qué buscar. Para alguien que está empezando, eso quita mucho agobio.

Lo que no te da es práctica. Puedes aprobarlo sin haber abierto nunca un SIEM. Por eso, para mí, es un buen punto de partida, pero un mal punto de llegada.

eJPT: ensuciarse las manos

El eJPTv2 es otra historia. Es un examen práctico de 48 horas en un laboratorio: tienes una red delante y tienes que ir sacando respuestas a base de enumerar, explotar y pivotar entre máquinas. Aquí ya no vale con saber qué es algo, tienes que hacerlo.

Lo que más me enseñó fue paciencia con la enumeración. Cuando estás atascado, casi nunca es porque te falte una técnica avanzada. Es porque has pasado algo por alto en un escaneo o en un servicio que miraste por encima. Esa costumbre de volver atrás y mirar otra vez con calma me la he llevado a todo, también a sistemas.

Lo que no esperaba: el ataque me hizo mejor defensor

Lo curioso es que la certificación ofensiva es la que más me ha ayudado en el lado defensivo. Cuando una alerta te dice que alguien ha lanzado un escaneo de puertos o ha intentado subir un fichero raro a un servidor web, si alguna vez lo has hecho tú, entiendes en un segundo qué está pasando y qué viene después. Y cuando, ya en sistemas, me tocó limpiar un webshell en un WordPress, sabía perfectamente qué buscar porque había estado al otro lado.

Lo que me llevo

Ninguna de las dos me convirtió en nada por sí sola. La de verdad empezó cuando tuve delante sistemas reales, alertas reales y problemas que no venían en ningún temario. Pero Security+ me dio el vocabulario para entender lo que veía, y el eJPT me quitó el miedo a meterme en una máquina y ver qué pasaba. Para empezar, no se me ocurre mejor combinación.