Costo de la revisión de seguridad de permisos de Hasura: $2,400 de pago único
El costo de la revisión de seguridad de permisos de Hasura es de $2,400 de pago único, $1,200 para empezar. El PDF es tuyo. No hay suscripción. Reglas de roles de Hasura en Postgres.
En este artículo· 6 secciones
- 01¿Cuánto cuesta una revisión de seguridad de permisos de Hasura?
- 02¿Qué deciden esos permisos de roles para un usuario que inició sesión?
- 03¿Qué no incluye el precio de $2,400?
- 04¿Cómo corre la revisión desde el acceso hasta el PDF?
- 05Cuándo esto todavía no es el paso correcto
- 06¿Qué debe cumplirse antes de que empiece?
El costo de la revisión de seguridad de permisos de Hasura es $2,400 de pago único para una app cuya API de GraphQL es Hasura sobre Postgres. $1,200 inician el trabajo. El informe se entrega 48 horas después de que un usuario de prueba pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Los roles de Hasura viven en el motor. No son roles de Postgres. Una celda llena en la cuadrícula de permisos no es una revisión.
Respuesta corta: El costo de la revisión de seguridad de permisos de Hasura es $2,400 de pago único, con $1,200 para empezar, para una app. Reviso las pantallas en vivo, el inicio de sesión y los permisos de roles de Hasura en los que esas pantallas ya confían, y luego escribo el informe 48 horas después de que el acceso funcione. Es tuyo. La factura de hosting de Hasura y un pentest acreditado de varias semanas son productos distintos. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de permisos de Hasura?
$2,400 de pago único por una app, $1,200 para empezar, el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando Hasura Cloud, un acceso a un escáner ni un sello que yo no tengo.
La documentación de autorización de Hasura dice que los permisos de roles viven en el motor y no tienen relación con los usuarios y roles de la base de datos. Este precio pone a prueba la puerta que el navegador ya cruza.
| Lo que compras | Precio 2026 | Lo que realmente obtienes |
|---|---|---|
| Esta revisión de permisos de Hasura | $2,400 de pago único, $1,200 para empezar | Una app, las reglas de roles que el motor está ejecutando, la interfaz que confía en ellas, informe en 48 horas, una nueva prueba |
| Motor de Hasura, Cloud o self-hosted | Tu factura de hosting | La API de GraphQL. No una prueba de qué rol puede leer qué fila |
| Escaneo automatizado | Unos $100–$3,000 | Sobre todo una lista de fallos conocidos (WardenBit) |
| Pentest de una app web pequeña | $2,500–$15,000, o $4,000–$12,000 | Un calendario más largo, a menudo orientado a un paquete de cumplimiento (SecureLeap) |
La misma revisión en el mes 12 y en el mes 24 suma $7,200 en tres años, un pago cada vez. Eso no compra una carta de CREST. El precio también está en precios.
Una política de filas dentro de Postgres es un producto distinto. Ese texto es la revisión de seguridad de RLS de Supabase. Esta es el metadata de Hasura que la petición de GraphQL realmente usa.
¿Qué deciden esos permisos de roles para un usuario que inició sesión?
Inicio sesión como los usuarios que ya entregas y registro qué filas y columnas pueden abrir esas sesiones. El recorrido cubre las páginas, el inicio de sesión y las reglas que el motor está ejecutando. El admin secret es una llave distinta, y no debe estar en el navegador.
El criterio es el propio modelo de permisos de Hasura:
- Una petición lleva
X-Hasura-Roley las variables de sesión que configuró tu servicio de autenticación. Las reglas son por rol, por tabla y por operación (configuración de permisos). - Select puede limitar filas, columnas, agregaciones y cuántas filas regresan. Los permisos de columnas deciden qué campos de una fila permitida son visibles (permisos de columnas).
- “Without any checks” es un filtro vacío. Los ejemplos de roles de Hasura dicen que esa condición permite todas las filas. Un rol público con ese filtro y una columna sensible es un hueco, no un marcador de posición.
- Insert usa un check y puede predefinir columnas. Update tiene un filtro previo a la actualización y un check posterior a la actualización (permisos de filas). Un usuario que puede escribir una fila que no debería ser suya es un hallazgo. No pego una forma de hacerlo.
- El admin secret, enviado solo, omite los permisos. El rol
adminhace lo mismo. La página de acceso de admin de Hasura dice que ese secreto nunca debe estar en un cliente de frontend. Registro si el navegador lo envía. No me llevo el secreto. - En modo JWT el token debe llevar
x-hasura-default-roleyx-hasura-allowed-roles. Un cliente puede nombrarx-hasura-rolesolo si ese rol ya está permitido (autenticación JWT). Reviso los roles que los usuarios de prueba pueden asumir.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes.
¿Qué no incluye el precio de $2,400?
Obtienes severidad, tabla, rol, operación y una corrección que un ingeniero puede dejar en un ticket, para una app autorizada. No entrego pasos de exploit, una reescritura de metadatos, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
Una segunda app, un binario móvil, un red team de red y aplicar el cambio de permisos son cotizaciones aparte. Si el admin secret ya está en el cliente, lo anoto. Moverlo es trabajo de tu ingeniero. Si una pantalla llama una action o un remote schema, registro el rol. Reescribir ese handler no entra en este precio.
Esto no es AI Front Door, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admita conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único por un trabajo operativo que se repite, como el seguimiento de cobro de una factura, y no lee los metadatos de Hasura.
¿Cómo corre la revisión desde el acceso hasta el PDF?
Autorizas una URL, uso los inicios de sesión de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. Los permisos en ejecución deciden la fila y la columna. El PDF es lo que te quedas. No aplico un cambio de metadatos dentro de este precio.
| Paso | Qué ocurre |
|---|---|
| Disparador | Las filas de clientes están en vivo a través de Hasura, o un comprador preguntó qué rol todavía puede leerlas |
| Acción | Recorro la interfaz en vivo como cada usuario de prueba y comparo esa sesión con las reglas de roles que el motor está ejecutando |
| Sistema de registro | Esos metadatos, más los hallazgos escritos: severidad, tabla, rol, operación, corrección |
| Escalamiento humano | Tú abres el ticket del cambio. No edito los permisos de producción dentro de este precio |
Envía la autorización por escrito, un usuario de prueba que funcione y un segundo usuario cuando dos clientes no deban verse entre sí. Indica qué tablas puede leer un visitante sin sesión. Nombra al ingeniero que es dueño de los metadatos. Una nueva prueba gratuita de esa misma URL está incluida dentro de 14 días.
Cuándo esto todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador pidió un certificado que esta oferta no incluye. Consigue primero una URL y dos usuarios de prueba. Un recorrido sin inicio de sesión es un vistazo a la página de inicio.
Espera si hoy nadie puede iniciar sesión como dos clientes. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el endpoint no es Hasura, dilo antes de pagar. La misma revisión de seguridad de aplicaciones web sigue cubriendo la autenticación y la API. Una llamada perdida es la recepción, $8,000 de pago único, no esta revisión.
¿Qué debe cumplirse antes de que empiece?
Trae la URL, dos usuarios y una frase sobre qué es público. Empiezo desde los permisos que el motor está ejecutando. No puedo empezar sin un inicio de sesión que se comporte como producción.
Antes de pagar, confirma esto:
- La URL que puedo usar, por escrito.
- Un usuario que debe ver sus propias filas y un segundo usuario que no debe verlas.
- Qué rol usa un visitante sin sesión y qué tablas puede leer ese rol.
- Que el admin secret se quede en un servidor, no en el binario de la app ni en el navegador.
- Que alguien pueda mostrar los metadatos de permisos si el archivo de git y el motor en ejecución no coinciden.
Si quieres el formato antes de las credenciales, pide el ejemplo desde el formulario de contacto.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a Hasura permissions security review cost? +
A Hasura permissions security review cost is $2,400 once for one app, and $1,200 starts it. I review the live UI, authentication, and the Hasura role permissions those pages already trust. The report is written 48 hours after access works. You own the PDF. There is no monthly fee. A second app is a second quote.
Does an empty permission or the admin secret replace a review? +
No. Hasura documents that a filter with no checks allows every row, and that the admin secret bypasses permissions when it is sent alone. Neither fact is a person signing in as your customer. I record whether that secret is in the browser. I do not take the secret, and the PDF has no exploit steps.
Do you rewrite the metadata or include exploit steps? +
No. You get severity, the table, the role, the operation, and a fix an engineer can ticket. I do not paste a reproduction recipe, and I do not apply a metadata change inside this price. If you want the document shape before you send credentials, ask for the sample. A rewrite is a separate quote.
When should I skip a Hasura permissions review? +
Skip it if there is no URL I am authorized to use, or no test login. Skip it if a contract names CREST or a letter I do not hold. If the app is not on Hasura, the same $2,400 review still fits. Booking from an AI app and an invoice chase are different offers.
