Costo de la revisión de reglas de seguridad de Firebase: $2,400, es tuyo
El costo de la revisión de reglas de seguridad de Firebase es de $2,400 de pago único por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. Reglas de Firestore y Storage.
En este artículo· 6 secciones
- 01¿Cuánto cuesta una revisión de reglas de seguridad de Firebase?
- 02¿Qué deciden esas reglas para un usuario con sesión iniciada?
- 03¿Qué no incluye por $2,400?
- 04¿Cómo corre la revisión desde el acceso hasta el PDF?
- 05Cuando esto todavía no es el paso correcto
- 06¿Qué debe estar listo antes de que empiece?
El costo de la revisión de reglas de seguridad de Firebase es $2,400 de pago único para una app cuyos clientes leen Cloud Firestore o Cloud Storage. $1,200 inician el trabajo. El informe se entrega 48 horas después de que un usuario de prueba pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
El cliente habla con los datos. Las reglas son la puerta. Un archivo implementado no prueba que esa puerta aguante.
Respuesta corta: El costo de la revisión de reglas de seguridad de Firebase es $2,400 de pago único, con $1,200 para empezar, para una app. Reviso las pantallas en vivo, el inicio de sesión y las reglas de Firestore y Storage en las que esas pantallas ya confían, y después escribo el informe 48 horas después de que el acceso funcione. Es tuyo. La factura de uso de Firebase y un pentest acreditado de varias semanas son productos distintos. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de reglas de seguridad de Firebase?
$2,400 de pago único para una app, $1,200 para empezar, el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando uso de Blaze, un acceso a un escáner ni un sello que yo no tengo.
Los planes de precios de Firebase separan Spark, el plan sin costo, de Blaze, pago por uso después de las cuotas sin costo. Cloud Storage for Firebase exige Blaze. Ese requisito entró en vigor el 3 de febrero de 2026, y el uso sin costo sigue existiendo en Blaze (preguntas frecuentes de facturación de Storage). Nada de eso es una persona que inicia sesión como tu cliente.
| Qué estás comprando | Precio 2026 | Qué obtienes de verdad |
|---|---|---|
| Esta revisión de reglas de Firebase | $2,400 de pago único, $1,200 para empezar | Una app, reglas de Firestore y Storage implementadas, la interfaz que confía en ellas, informe en 48 horas, una reprueba |
| Firebase Spark o Blaze | Spark: cuotas sin costo. Blaze: uso después de esas cuotas | La base de datos y el bucket. No una prueba de quién puede leerlos |
| Escaneo automatizado | Unos $100–$3,000 | Sobre todo una lista de fallos conocidos (WardenBit) |
| Pentest de una app web pequeña | $2,500–$15,000, o $4,000–$12,000 | Un calendario más largo, a menudo orientado a un paquete de cumplimiento (SecureLeap) |
La misma revisión en el mes 12 y en el mes 24 es $7,200 en tres años, un pago cada vez. Eso no compra una carta de CREST. El precio también está en precios.
Una revisión de políticas por fila en Supabase es otra base de datos. Ese texto es la revisión de seguridad de RLS en Supabase. Esta es el archivo de reglas que Firebase implementó de verdad.
¿Qué deciden esas reglas para un usuario con sesión iniciada?
Inicio sesión como los usuarios que ya publicas y registro qué documentos y archivos pueden abrir esas sesiones. La revisión cubre las páginas, la autenticación y las reglas que la consola implementó por última vez. El Admin SDK es otra clave, y no pertenece al navegador.
Los conceptos básicos de las reglas de Firebase son el criterio:
- El modo bloqueado restringe el acceso. El modo de prueba lo concede. Los ejemplos de modo bloqueado de Firestore y Storage en esa página son
allow read, write: if false. Una regla que deja pasar a cualquier usuario con sesión iniciada es un atajo de desarrollo, no una puerta de producción. - Reglas inseguras dicen que un proyecto abierto está en internet. Quien adivine el ID del proyecto puede robar, modificar o borrar datos si el modo de prueba nunca se cerró. La consola muestra las últimas reglas implementadas. Un archivo de git que no coincida con la consola no es lo que alcanzan los clientes.
- Cada solicitud de Firestore desde una biblioteca de cliente móvil o web se revisa antes de que los datos se muevan. Si las reglas niegan cualquier ruta de esa solicitud, falla la solicitud completa (primeros pasos).
- El Admin SDK omite las reglas porque usa una cuenta de servicio. Registro si esa clave está solo en un servidor que tú controlas. No me llevo la clave y no dejo escrita una forma de abusarla.
- Las reglas que llaman a
get(),exists()ogetAfter()se facturan como lecturas extra de documentos (precios de Firestore). Las anoto cuando son la comprobación de autorización. No estoy auditando tu factura de Google.
La forma del documento es el informe de pentest de muestra. Sin nombres de clientes.
¿Qué no incluye por $2,400?
Obtienes severidad, ruta, rol y una corrección que un ingeniero puede pasar a ticket, para una app autorizada. No entrego pasos de explotación, una reescritura de las reglas, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
Una segunda app, un binario móvil, un red team de red y una reescritura del archivo de reglas son cotizaciones aparte. Si la cuenta de servicio ya está en el cliente, lo dejo por escrito. Moverla es trabajo de tu ingeniero.
Esto no es AI Front Door, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único para un trabajo operativo que se repite, como el seguimiento de una factura, y no lee reglas de Firestore.
¿Cómo corre la revisión desde el acceso hasta el PDF?
Autorizas una URL, uso los inicios de sesión de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. Las reglas implementadas deciden el documento o el archivo. El PDF es lo que te quedas. No implemento un cambio de reglas dentro de este precio.
| Paso | Qué ocurre |
|---|---|
| Disparador | Los documentos o archivos del cliente están en vivo, o un comprador preguntó quién más puede leerlos |
| Acción | Recorro la interfaz en vivo como cada usuario de prueba y comparo esa sesión con las reglas que la consola implementó por última vez |
| Sistema de registro | Esas reglas implementadas, más los hallazgos por escrito: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú pasas el cambio a ticket. No edito reglas de producción dentro de este precio |
Envía la autorización por escrito, al menos un usuario de prueba que funcione y un segundo usuario cuando dos clientes no deban verse entre sí. Di qué colecciones o rutas deben ser públicas. Nombra al ingeniero dueño de las reglas. Una reprueba gratis de esa misma URL está incluida dentro de 14 días.
Cuando esto todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador nombró un certificado que esta oferta no incluye. Consigue primero una URL y dos usuarios de prueba. Una revisión sin inicio de sesión es un vistazo a la página de inicio.
Espera si hoy nadie puede iniciar sesión como dos clientes. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si ningún SDK de cliente puede llegar a Firestore o Storage, dilo antes de pagar. Puede que las reglas no sean la puerta. Si la app no está en Firebase, la misma revisión de seguridad de aplicaciones web igual cubre la autenticación y la API. Una llamada perdida es la recepcionista, $8,000 de pago único, no esta revisión.
¿Qué debe estar listo antes de que empiece?
Trae la URL, dos usuarios y una frase sobre qué es público. Empiezo desde las reglas implementadas. No puedo empezar sin un inicio de sesión que se comporte como producción.
Antes de pagar, confirma esto:
- La URL que puedo usar, por escrito.
- Un usuario que debe ver sus propios registros y un segundo usuario que no debe.
- Qué colecciones y qué rutas de Storage debe leer un visitante sin sesión.
- Que la cuenta de servicio se queda en un servidor, no en el binario de la app ni en el navegador.
- Que alguien pueda abrir la pestaña de reglas de la consola de Firebase si el archivo de git y la implementación no coinciden.
Si quieres el formato antes de las credenciales, pide la muestra en el formulario de contacto.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a Firebase security rules review cost? +
A Firebase security rules review cost is $2,400 once for one app, and $1,200 starts it. I review the live UI, authentication, and the Firestore and Storage rules those pages already trust. The report is written 48 hours after access works. You own the PDF. There is no monthly fee. A second app is a second quote.
Does Blaze or locked mode replace a rules review? +
No. Spark is the no-cost Firebase plan. Blaze is pay-as-you-go usage for the database and the bucket. Locked mode is a console starting point that denies clients. Neither plan reads your screens as a signed-in customer and writes down what that session can still open. That pass is the $2,400 review.
Do you need the Admin SDK key, and are exploit steps in the PDF? +
No. I need the URL, written authorization, and test users. I do not need the service account, and the Admin SDK does not belong in the browser. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
When should I skip a Firebase rules review? +
Skip it if there is no URL I am authorized to use, or no test login. Skip it if a contract names CREST or a letter I do not hold. If the app is not on Firebase, the same $2,400 review still fits. Booking from an AI app and an invoice chase are different offers.
