Costo de la revisión de seguridad de magic link: $2,400, es tuyo
El costo de la revisión de seguridad de magic link es $2,400 de pago único por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. El enlace del correo, no el proveedor.
En este artículo· 6 secciones
El costo de la revisión de seguridad de enlaces mágicos es $2,400 de pago único para una app cuyos usuarios inician sesión al hacer clic en un enlace de correo de un solo uso. $1,200 arranca el trabajo. El informe se entrega 48 horas después de que ese inicio de sesión de prueba funcione. El PDF es tuyo. No hay suscripción.
El enlace es una contraseña que se muere. Tu API decide si un segundo clic, una vigencia larga o una página de destino que no es tuya igual crea una sesión.
Respuesta corta: El costo de la revisión de seguridad de enlaces mágicos es $2,400 de pago único, con $1,200 para empezar, para una app que inicia la sesión de las personas desde un enlace de correo. Reviso que el enlace muera después de un uso exitoso, cuánto tiempo sigue vigente y qué sesión emite la API, y después escribo el informe 48 horas después de que el acceso funcione. Es tuyo. El producto de enlaces mágicos de un proveedor y un pentest acreditado de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de enlaces mágicos?
$2,400 de pago único para una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando una licencia de Clerk o de Stytch, un complemento mensual de inicio de sesión ni un certificado que yo no tengo.
La tabla usa vigencias publicadas, no suposiciones. Las opciones de inicio de sesión de Clerk hacen vencer un enlace de correo en 10 minutos. Los tokens de inicio de sesión de Clerk duran 30 días por defecto y funcionan una sola vez. La descripción general de Stytch es de un solo uso. La configuración de inicio de sesión de Stytch deja los enlaces de inicio de sesión en 60 minutos por defecto y los enlaces de registro de consumidores en 7 días. Eso es su producto, no tu API.
| Qué estás comprando | Precio 2026 | Qué recibes en realidad |
|---|---|---|
| Enlace de verificación de correo de Clerk | Vence en 10 minutos | Su control. No es una prueba de tu API |
| Token de inicio de sesión de Clerk | De un solo uso, 30 días por defecto | Un enlace de correo de larga duración que puedes emitir. Sigue siendo su producto |
| Magic link de inicio de sesión de Stytch | 60 minutos por defecto, de un solo uso | Su producto. El clic de un escáner no debe crear una sesión |
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, el enlace de correo y la sesión que crea, informe en 48 horas, una repetición de la prueba |
| App web pequeña, mercado | $2,500–$15,000, o $2,500–$5,500 | Un calendario más largo y, con frecuencia, una app más amplia que el enlace de inicio de sesión |
La guía 2026 de WardenBit para pequeños negocios ubica la mayoría de los proyectos de apps web entre $2,500 y $15,000, y $100–$3,000 como escaneo en su mayor parte automatizado. La guía de precios de Pentestica, actualizada el 2 de octubre de 2026, lista una prueba manual de aplicación web o de API en $2,500–$5,500.
Dos pasadas de esta revisión, con un año de diferencia, son $4,800 en 24 meses. Tres son $7,200 en 36 meses. No estás rentando el PDF.
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página del sector es revisión de seguridad web para SaaS. Una pasada de la URI de callback es otro texto: costo de la revisión de seguridad de la redirección OAuth.
¿Qué revisan en realidad esos $2,400?
Pido el enlace de correo en una cuenta de prueba que me das, lo uso una vez y registro lo que la API acepta. La pasada cubre el inicio de sesión en vivo, el enlace y la sesión que esas páginas ya crean. No entrego una receta para falsificar uno.
Clerk también documenta un ajuste que exige abrir el enlace en el mismo dispositivo y el mismo navegador donde empezó el inicio de sesión. Stytch dice que un escáner de seguridad de correo no debe consumir el token ni recibir una sesión. Un enlace hecho en casa suele saltarse las dos cosas, y el dueño igual lo llama “el enlace mágico”.
Registro, en hallazgos claros:
- Cuánto tiempo sigue funcionando un enlace recién emitido, frente a la vigencia que crees haber configurado.
- Si un segundo clic, después de un inicio de sesión exitoso, crea otra sesión.
- Si el enlace abre una URL que es de tu app.
- Si “enviar el enlace” responde de otra forma cuando la dirección no es de un usuario.
- Qué cuenta, rol y tenant adjunta la API después de un clic válido.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Sin pasos de explotación.
¿Qué no está incluido por $2,400?
Recibes severidad, ruta, rol y una corrección que un ingeniero puede pasar a ticket, para una app autorizada. No entrego pasos de explotación, una auditoría del producto Clerk o Auth0, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
Esto no es una revisión del panel de Stytch. Si el inicio de sesión es Stytch y la pregunta es toda la sesión, ese es el artículo costo de la revisión de seguridad de Stytch, no este. Un refresh token que emite nuevos access tokens es una pasada posterior, no este precio.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único para un trabajo de operaciones que se repite, como el cobro de una factura, y no prueba un enlace de correo.
¿Cómo corre la revisión desde el enlace de correo hasta el PDF?
Tú autorizas una URL, yo uso la cuenta de prueba que envías y el reloj empieza cuando puedo solicitar el enlace. Tu API decide si confía en el clic. El PDF es lo que conservas. No parcheo producción dentro de este precio.
| Paso | Qué ocurre |
|---|---|
| Disparador | Los usuarios ya inician sesión desde un enlace de correo, o un comprador preguntó cuánto tiempo vive ese enlace |
| Acción | Pido un enlace, lo uso una vez y comparo esa sesión con la API que la página de inicio de sesión ya llama |
| Sistema de registro | La app, más los hallazgos escritos: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú pasas el cambio a un ticket. No edito producción dentro de este precio |
Envía la autorización por escrito y un usuario de prueba que pueda recibir el enlace. Di si un segundo tenant debe seguir cerrado. Nombra al ingeniero responsable de la API. Una repetición de prueba gratuita de esa misma URL está incluida dentro de 14 días.
Cuándo todavía no es el paso correcto
No pagues los $1,200 si hoy nadie puede iniciar sesión desde un enlace de correo, o si yo no puedo abrir la app de forma legal. Una pasada sin enlace es una revisión ligera del inicio de sesión. Deja el enlace listo y después reserva la revisión.
Espera si el flujo todavía es un ticket. Contrata a la firma que tiene CREST si el cuestionario pide ese nombre. Si la única pregunta es el callback de OAuth, lee el artículo de la redirección en lugar de comprar este dos veces. Una llamada perdida es la recepción, $8,000 de pago único, no esta revisión.
¿Qué tiene que estar listo antes de que empiece?
Trae la URL, un usuario de prueba y una frase sobre cuánto crees que vive el enlace. Puedo empezar sin un recorrido por tu proveedor de correo. No puedo empezar sin un inicio de sesión que se comporte como en producción.
Antes de pagar, escribe esta lista:
- La vigencia que buscas, en minutos, para registros nuevos y para usuarios que regresan.
- Si un segundo clic tiene que fallar.
- La URL que el enlace puede abrir y las URL que no debe abrir.
- El rol y el tenant a los que puede entrar un clic válido.
Si quieres ver el formato antes de las credenciales, pide el ejemplo en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres revisar el flujo de trabajo durante 20 minutos y ver si esto te sirve, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a magic link security review cost? +
Magic link security review cost is $2,400 once for one app, and $1,200 starts it. I review the live login that emails a one-time link, and the session the API accepts after that click. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does a Clerk or Stytch magic link replace this review? +
No. Clerk email links expire after 10 minutes, and Stytch login links default to 60 minutes. Those are their controls. I do not audit Clerk, Auth0, or Stytch as products. This pass asks whether your app's link is single-use, how long it lives, and what session your API issues after the click.
Are exploit steps in the PDF, and do you need production secrets? +
I need a test user that can request the email link, and written permission to use that URL. I do not need your production secrets. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
When should I skip a magic link review? +
Skip it if users do not sign in from an email link yet, or if there is no URL I am authorized to open. Skip it if a contract names CREST or a letter I do not hold. An OAuth callback and a Clerk session are different writeups. Booking from an AI app is a different offer.
