Costo de la revisión de seguridad de Auth0: $2,400, no la factura del tenant
El costo de la revisión de seguridad de Auth0 es de $2,400 de pago único para una app SaaS, $1,200 para empezar. El PDF es tuyo. Sin suscripción. Revisa la audiencia de la API. Hazlo tuyo.
En este artículo· 6 secciones
El costo de la revisión de seguridad de Auth0 es $2,400 de pago único para una app que inicia la sesión de las personas a través de un tenant de Auth0. $1,200 arranca el trabajo. El informe se entrega 48 horas después de que un usuario de prueba pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad de Auth0 es $2,400 de pago único, con $1,200 para empezar, para una app que inicia sesión con Auth0. Reviso la audiencia de la API, la organización en el token y las llamadas que la interfaz ya hace, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. Un plan de Auth0 y un pentest de varias semanas son productos distintos. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de Auth0?
$2,400 de pago único para una app, $1,200 para empezar y el resto cuando llegue el PDF. Ese archivo es tuyo. No estás comprando la factura mensual de usuarios de Auth0, una licencia de escáner ni un sello que yo no tengo.
La página de precios de Auth0 lista B2C Essentials en $35 al mes para 500 usuarios activos mensuales, y B2B Essentials en $150 al mes para los mismos 500. B2C Professional empieza en $240. B2B Professional empieza en $800. Free es $0 hasta 25,000 usuarios activos mensuales, con 5 organizaciones y protección básica contra ataques. La facturación anual es 11 veces el precio mensual.
| Qué estás comprando | Precio 2026 | Qué obtienes en realidad |
|---|---|---|
| Auth0 B2C Essentials | $35/mes con 500 MAU | El tenant, MFA pro, RBAC, 10 organizaciones. No es una prueba de tu API |
| Auth0 B2B Essentials | $150/mes con 500 MAU | Organizaciones ilimitadas y 3 conexiones de SSO empresarial. Sigue siendo su producto |
| Esta revisión de Auth0 | $2,400 de pago único, $1,200 para empezar | Una app, audiencia, organización, la API que llama la interfaz, informe en 48 horas, un retest |
| Prueba de app web, mercado | $5,000–$30,000 | Calendario más largo, a menudo armada para una conversación de cumplimiento |
El artículo de costos 2026 de Synack ubica una prueba típica de aplicación web en esa franja de $5,000 a $30,000.
B2C Essentials a $35 al mes son $840 en 24 meses y $1,260 en 36. B2B Essentials a $150 son $3,600 y $5,400. B2B Professional a $800 son $19,200 en 24 meses y $28,800 en 36. Tres pasadas de esta revisión, separadas por un año, son $7,200. La factura del tenant queda aparte.
Los mismos $2,400 están en precios. Un inicio de sesión de Clerk es otro proveedor y otro conjunto de claims, cubierto en costo de la revisión de seguridad de Clerk.
¿Qué abre en realidad esos $2,400?
Entro con los roles que ya vendes y registro a qué organización y a qué API pueden llegar esos tokens. Auth0 emite el token. Tu API tiene que hacer coincidir la audiencia y los scopes con la ruta. Tu client secret se queda fuera del navegador y fuera de este trabajo.
La guía de Auth0 para validar tokens de acceso es el estándar contra el que escribo:
- Un access token es para una API. Solo esa API debería aceptarlo. Un token para un identificador distinto es un fallo, aunque la firma sea válida.
- Al menos un valor de audiencia tiene que coincidir con el API Identifier en la configuración de esa API.
- La lista de scopes tiene que incluir lo que esa ruta exige. El propio ejemplo de Auth0 es una ruta de creación que debe rechazar un token al que le falta
create:users. Registro si tu API lo hace. No entrego una receta. - Un miembro de la organización A no debería leer la organización B mediante una llamada que la interfaz ya hace. Free incluye 5 organizaciones. B2B Essentials indica organizaciones ilimitadas.
- Anoto si un bundle del navegador contiene un client secret o un token de la Management API. El PDF nombra la ruta del archivo. No imprime el secreto.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes.
¿Qué no incluye por $2,400?
Obtienes severidad, ruta, rol y una corrección que un ingeniero puede dejar en un ticket, para una app autorizada. No entrego pasos de exploit, una reescritura de la configuración del tenant, una segunda API ni un certificado que yo no tengo. La protección contra ataques es una función de Auth0. No es este PDF.
La protección básica contra ataques está en el plan Free. La protección mejorada contra ataques está en Professional. Esos controles viven en el tenant. No te dicen si una ruta confía en la audiencia equivocada. No edito Actions dentro de este precio.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único para un trabajo de operaciones que se repite, como el seguimiento de una factura, y no lee tokens de Auth0.
¿Cómo va la revisión desde el acceso hasta el PDF?
Tú autorizas una URL, yo uso los inicios de sesión de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. Auth0 emite el token. Tu API decide si la audiencia y la organización coinciden. El PDF es lo que te quedas. No parcheo producción dentro de este precio.
| Paso | Qué pasa |
|---|---|
| Disparador | Las organizaciones de clientes ya están activas, o un comprador preguntó si un tenant puede leer a otro |
| Acción | Recorro la interfaz en vivo con cada rol de prueba y comparo ese token con la API que esas páginas ya llaman |
| Sistema de registro | La app, más los hallazgos escritos: severidad, ruta, rol, corrección |
| Escalación humana | Tú abres el ticket del cambio. No edito producción dentro de este precio |
Envía autorización por escrito, al menos un usuario de prueba que funcione y un segundo usuario cuando dos organizaciones o dos roles tengan que quedar separados. Nombra el API Identifier que producción debe aceptar. Di qué es público. Un retest gratuito de esa misma URL está incluido dentro de 14 días.
Cuándo esto todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador nombró un certificado que esta oferta no incluye. Primero consigue una URL y dos usuarios de prueba. Una pasada sin inicio de sesión es un vistazo a la página de inicio.
No voy a adivinar una app de Auth0 a partir de una captura del panel. Espera si hoy nadie puede crear un miembro y un administrador. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el inicio de sesión no es de Auth0, la misma revisión de seguridad de aplicaciones web igual cubre la autenticación y la API.
¿Qué tiene que ser cierto antes de que empiece?
Trae la URL, dos roles o dos organizaciones, y el API Identifier que producción debe aceptar. Puedo empezar sin ser admin del tenant. No puedo empezar sin un inicio de sesión que se comporte como producción: si no, una página pública se convierte en un hallazgo falso.
Antes de pagar, escribe qué rutas debe seguir alcanzando un visitante sin sesión, qué organización nunca debe ver los registros de la otra y confirma que el client secret está solo en el servidor. Si activaste verificaciones de rol por organización, nombra el rol que debe fallar en una página específica.
Si quieres el formato antes de las credenciales, pide el ejemplo en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, agenda una llamada de 20 minutos.
Preguntas frecuentes
How much does an Auth0 security review cost? +
Auth0 security review cost is $2,400 once for one app, and $1,200 starts it. I review the live UI, the login, the API audience, the organization on the token, and the calls those pages make. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does an Auth0 plan replace this review? +
No. B2C Essentials is $35 a month at 500 monthly active users. B2B Essentials is $150. Those bills pay for the tenant, MFA, and attack protection. They do not show whether your API accepts a token meant for a different audience, or whether one organization can read another's record.
Do you need the Auth0 client secret, and are exploit steps in the PDF? +
I need working test users, not your client secret and not tenant admin. Two roles, or two organizations, when customers must not see each other. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
When should I skip an Auth0 review? +
Skip it if there is no URL I am authorized to use, or no test login. Skip it if a contract names CREST or a letter I do not hold. If the app does not use Auth0, the same $2,400 review still fits. Booking from an AI app and an invoice chase are different offers.
