Costo de la revisión de seguridad del cambio de correo: $2,400, es tuyo
El costo de la revisión de seguridad del cambio de correo es de $2,400 una vez por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. La bandeja de entrada nueva, no la contraseña.
En este artículo· 6 secciones
El costo de la revisión de seguridad del cambio de correo es $2,400 de pago único para una app cuyos usuarios con sesión iniciada pueden mover la cuenta a un correo nuevo. $1,200 inician el trabajo. El informe se entrega 48 horas después de que ese cambio funcione en un usuario de prueba. El PDF es tuyo. No hay suscripción. La bandeja de entrada es la identidad. La contraseña puede seguir igual.
Respuesta corta: El costo de la revisión de seguridad del cambio de correo es $2,400 de pago único, con $1,200 para empezar, para una app que permite a un usuario con sesión iniciada mover la cuenta a un correo nuevo. Reviso que se avise a la bandeja anterior, que la bandeja nueva confirme antes de que se mueva la dirección de inicio de sesión, y si la sesión de ayer sigue funcionando. El informe llega 48 horas después de que el acceso funcione. Es tuyo. El producto de correo de un proveedor y una prueba de penetración acreditada de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad del cambio de correo?
El costo de la revisión de seguridad del cambio de correo es $2,400 de pago único para una app y $1,200 para empezar, con el resto a pagar cuando llega el PDF. Ese archivo es tuyo. No estás comprando un plan de Supabase, un asiento de Clerk, una suscripción a un escáner ni un certificado que yo no tengo.
La hoja de referencia de correo de OWASP dice que cambiar un correo es cambiar la identidad: volver a autenticarse, avisar a la bandeja actual y confirmar la nueva. Supabase confirma ambas direcciones por defecto. Si desactivas Secure email change, solo confirma la bandeja nueva. Clerk vuelve a verificar al usuario en los 10 minutos previos a que un componente preconstruido agregue, quite o establezca un correo principal. El ticket de verificación de correo de Auth0 dura 432,000 segundos (5 días) cuando el tiempo de vida no está definido o es 0. Ese ticket verifica una dirección. No es tu flujo de cambio.
| Qué estás comprando | Qué dice la documentación | Qué obtienes en realidad |
|---|---|---|
| Actualización de correo en Supabase | Ambas bandejas confirman, salvo que Secure email change esté desactivado | Su control. Tu API todavía puede mover la dirección antes de tiempo |
| Agregar, quitar o establecer el correo principal en Clerk | Nueva verificación dentro de 10 minutos en los componentes preconstruidos | Su interfaz. Tu API todavía tiene que hacer cumplir la misma ventana |
| Ticket de verificación de correo de Auth0 | 5 días si el tiempo de vida no está definido o es 0 | Una URL que verifica una dirección. No es tu flujo de cambio |
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, el cambio de correo y lo que sigue funcionando después, informe en 48 horas, una repetición de la prueba |
| Prueba manual de app web o API | $2,500–$5,500 | Calendario más largo, alcance más amplio, evidencia de explotación en el informe |
Pentestica, actualizado el 2 de octubre de 2026, indica una prueba manual de app web o API en $2,500–$5,500, y ese informe incluye evidencia de explotación. El mío no.
Dos pasadas de esta revisión, con un año de diferencia, son $4,800 en 24 meses. Tres son $7,200 en 36 meses.
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página de la industria es revisión de seguridad de sitios web para SaaS. Un enlace que reemplaza la contraseña es otro artículo: costo de la revisión de seguridad del restablecimiento de contraseña.
¿Qué revisa realmente esos $2,400?
Solicito el cambio en una cuenta de prueba que me das y registro si el correo de inicio de sesión se mueve antes de que la nueva bandeja lo confirme. La revisión cubre los mensajes en vivo, las confirmaciones y las sesiones que ya están abiertas. No entrego una receta para falsificar un enlace.
Registro, en hallazgos claros:
- Si el usuario tiene que volver a iniciar sesión antes de que empiece el cambio.
- Si se avisa a la bandeja anterior antes de que se mueva el correo de inicio de sesión, y si esa bandeja puede detenerlo.
- Si la nueva bandeja tiene que confirmar antes de que cambie la dirección guardada.
- Si una confirmación anterior sigue funcionando después de una solicitud más nueva.
- Si las sesiones que ya están abiertas siguen funcionando después de que se mueve la dirección.
El formato del documento es el informe de pentest de muestra. Sin nombres de clientes. Sin pasos de explotación. Sin valores de tokens.
El hook de envío de correo de Supabase advierte que es fácil adjuntar los dos hashes de confirmación a la bandeja equivocada. Registro qué bandeja recibió qué prueba. No imprimo el mapa de campos.
¿Qué no incluyen los $2,400?
Recibes la severidad, la ruta, el rol y una corrección que un ingeniero puede dejar en un ticket, para una app autorizada. No entrego pasos de explotación, una auditoría de un proyecto de Supabase, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
Si el correo reemplaza la contraseña y la dirección se queda igual, eso es el artículo de restablecimiento de contraseña. Si el correo solo inicia la sesión del usuario, eso es el costo de la revisión de seguridad de magic link. Una confirmación de registro en una cuenta nueva es otra cotización.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta cuesta $3,500 de pago único por un trabajo operativo que se repite, como el seguimiento de una factura, y no prueba un cambio de correo.
¿Cómo corre la revisión desde la solicitud de cambio hasta el PDF?
Tú autorizas una URL, yo uso la cuenta de prueba que envías y el reloj empieza cuando puedo solicitar el cambio. Tu API decide si la bandeja anterior puede detenerlo. A este precio no parcheo producción.
| Paso | Qué ocurre |
|---|---|
| Disparador | Los usuarios ya pueden mover el correo de la cuenta, o un comprador preguntó qué pasa si la bandeja anterior nunca se entera |
| Acción | Solicito un cambio y registro qué bandeja todavía puede iniciar sesión |
| Sistema de registro | La app, más la severidad, la ruta, el rol y una corrección |
| Escalamiento humano | Tú dejas el cambio en un ticket. Yo no edito producción dentro de este precio |
Envía una autorización por escrito y un usuario de prueba que pueda recibir los dos mensajes. Indica si la bandeja anterior tiene que aprobar. Incluye una repetición sin costo de esa misma URL dentro de 14 días.
Cuando todavía no es el paso correcto
No pagues los $1,200 si hoy nadie puede cambiar el correo de la cuenta, o si yo no puedo abrir la app de forma legal. Una revisión sin flujo de cambio es un vistazo normal al inicio de sesión. Publica el cambio y después reserva la revisión.
Espera si la dirección nueva sigue siendo un ticket de soporte. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el correo solo define una contraseña nueva, lee el artículo de restablecimiento de contraseña en lugar de comprar esta revisión dos veces. Una llamada perdida es el recepcionista, $8,000 de pago único, no esta revisión.
¿Qué tiene que cumplirse antes de empezar?
Trae la URL, un usuario de prueba y una frase sobre si el buzón anterior tiene que aprobar. Puedo empezar sin un recorrido por tu proveedor de correo. No puedo empezar un cambio que no se comporte como en producción.
Antes de pagar, anota esto:
- Si un usuario con sesión iniciada tiene que volver a ingresar una contraseña o un segundo factor antes de que empiece el cambio.
- Si se notifica al buzón anterior y si ese buzón puede cancelar.
- Si el correo de inicio de sesión guardado cambia solo después de que el buzón nuevo confirme.
- Si las sesiones abiertas tienen que cerrarse cuando cambia la dirección y qué buzón recibe el siguiente restablecimiento de contraseña.
Si quieres el esquema antes de las credenciales, pide la muestra en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres revisar el flujo de trabajo durante 20 minutos y ver si esto encaja, agenda una llamada de 20 minutos.
Preguntas frecuentes
How much does an email change security review cost? +
Email change security review cost is $2,400 once for one app, and $1,200 starts it. I review the flow that moves the account login email, including whether the old inbox is told and whether the new inbox must confirm first. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does Supabase or Clerk replace this review? +
No. Supabase confirms the current inbox and the new one by default, unless Secure email change is off. Clerk's prebuilt components re-check the user within 10 minutes before an email is added, removed, or set primary. Those are their controls. This pass asks whether your API moves the login email first.
Are exploit steps in the PDF, and do you need production secrets? +
I need a test user that can request the email change, and written permission to open those messages. I do not need production secrets. The PDF has severity, path, role, and a fix. It does not include exploit steps, confirmation tokens, or a certificate I do not hold.
When should I skip an email change review? +
Skip it if users cannot change the account email yet, or if there is no message I am authorized to open. Skip it if a contract names CREST or a letter I do not hold. A password reset and a magic-link login are different writeups. Booking from an AI app is a different offer.
