Costo de la revisión de seguridad de Next.js: $2,400 de pago único, una app
El costo de la revisión de seguridad de Next.js es $2,400 de pago único por una app, $1,200 para empezar. El informe es tuyo. Sin suscripción. Frontend, autenticación y las rutas que llama la interfaz.
En este artículo· 6 secciones
Un costo de revisión de seguridad de Next.js es $2,400 de pago único por una aplicación. $1,200 inician el trabajo. Los otros $1,200 se pagan cuando se entrega el informe, 48 horas después de que pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Ese precio es para un fundador o un líder de ingeniería con una app de Next.js en producción o en staging. Cubro el frontend, el inicio de sesión y los route handlers y server actions que esas páginas ya llaman. No es una carta de cumplimiento. No es un segundo producto en otro host.
Respuesta corta: El costo de la revisión de seguridad de Next.js es $2,400 de pago único, con $1,200 para empezar, para una app. Reviso la interfaz en vivo, la autenticación y las llamadas que esa interfaz ya hace, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. Un PDF de escáner y un encargo con membrete de $15,000 son productos distintos. La oferta está en la página de revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de Next.js?
$2,400 de pago único por una app de Next.js, $1,200 para empezar, el resto al entregar. No estás comprando un escaneo mensual, una auditoría de código fuente ni un sello que yo no tenga.
La guía 2026 de WardenBit para pequeños negocios ubica la mayoría de los proyectos de aplicaciones web entre $2,500 y $15,000, y la franja de $100–$3,000 como escaneo mayormente automatizado. Su propio plan de un solo objetivo es $2,500 por encargo, con una reevaluación y entrega en dos días hábiles cuando el acceso ya está listo. La tabla de startups de SecureLeap lista una aplicación web SaaS pequeña en $4,000–$12,000.
| Qué estás comprando | Precio 2026 | Qué recibes de verdad |
|---|---|---|
| Escaneo mayormente automatizado | $100–$3,000 | Salida de la herramienta, poco criterio humano |
| Esta revisión de Next.js | $2,400 de pago único, $1,200 para empezar | Una app, interfaz en vivo, autenticación, las llamadas que la interfaz ya hace, informe en 48 horas, una reevaluación |
| WardenBit, un objetivo | $2,500 por encargo | Su plan publicado de un objetivo y una reevaluación |
| Aplicación web SaaS pequeña, boutique | $4,000–$12,000 | Calendario más largo, a menudo armado para una conversación de cumplimiento |
Si compraras un encargo de $5,000 una vez al año, dos años son $10,000 y tres años son $15,000. Esta revisión es $2,400 de pago único. Una segunda app, o un conjunto de funciones que se publique después de la ventana de reevaluación, es una cotización nueva. No te estoy rentando un asiento.
El mercado más amplio, no solo Next.js, está en costo de una revisión de seguridad de aplicaciones web. La misma cifra de $2,400 está en precios.
¿Qué abre de verdad ese $2,400?
Inicio sesión con el rol que me das y recorro una app de Next.js en vivo: las páginas, los formularios, las cargas, las descargas y los server actions y route handlers que esas pantallas ya llaman.
Next.js esconde una API real detrás de un botón. Un server action y un route handler siguen siendo endpoints. La guía de autenticación de Next.js dice que hay que tratar ambos como endpoints públicos de una API, y comprobar que el usuario puede hacer la mutación o la lectura.
Lista que reviso en una URL:
- Una página que sigue mostrándose para el rol equivocado, o para alguien que no inició sesión
- Un server action que el botón ya llama, verificado de nuevo dentro de la acción
- Un route handler que la página ya consulta, con la misma pregunta
- Un valor armado para el navegador que en realidad es un secreto
- Un segundo rol, si me das uno, y si los registros del primer rol siguen abriéndose
- La versión de Next.js frente a las versiones parcheadas de abajo, leída en la app que indicaste
No pego una receta en el PDF. Ruta, rol, severidad, corrección. La forma de ese documento es el informe de pentest de ejemplo.
¿Dónde debe vivir la verificación de autorización de Next.js?
La verificación va junto a los datos, no solo en una redirección. El middleware, o la verificación de proxy en la documentación actual de Next.js, es una compuerta optimista. No es la autorización de la acción.
La misma guía dice que esa verificación no debe ser tu única línea de defensa, y que la mayoría de las verificaciones deben estar lo más cerca posible de los datos. Un layout que no devuelve nada para un usuario sin sesión no cubre todos los puntos de entrada. Las rutas anidadas y los server actions siguen necesitando su propia verificación.
El 21 de marzo de 2025, los mantenedores publicaron GHSA-f82v-jwr5-mffw, CVE-2025-29927. Si la única verificación de autorización vivía en el middleware, se podía saltar. Las correcciones salieron en 15.2.3, 14.2.25, 13.5.9 y 12.3.5. Las implementaciones de Next.js alojadas en Vercel quedaron protegidas de forma automática. Sigo sin calificar una redirección como el control. Califico si la acción y el handler rechazan al usuario equivocado.
No voy a escribir el bypass en el informe. Si no tienes el parche y lo alojas tú mismo, el hallazgo es la actualización, más lo que los roles en vivo todavía puedan hacer en la URL que autorizaste.
¿Qué queda fuera del precio?
Una auditoría de código, binarios móviles, una revisión de cuenta en la nube, phishing, un segundo hostname y cualquier carta de compras quedan fuera. Estás comprando una URL, de pago único, sin cuota mensual.
No incluye:
- Leer el repositorio o un monorepo como el producto
- Permisos de administrador dentro de tu proveedor de identidad
- Infraestructura, contenedores o una revisión del firewall
- Un informe CREST, PCI o SOC que no estoy certificado para firmar
- Pasos de exploit que otra persona podría copiar
- Funciones que publiques después de la reevaluación gratuita
Misma factura cuando la API es la que la interfaz de Next.js ya llama. Un programa solo de API, sin interfaz, es otra cotización.
Esto no es Automatización de flujos de trabajo ni es Puerta de entrada con IA. No estoy persiguiendo facturas en QuickBooks ni dejando que un cliente reserve desde Claude o ChatGPT. Esas son otras ofertas.
¿Cómo corre la revisión?
El permiso por escrito más un inicio de sesión que funcione es el disparador. La acción es recorrer esa única app. El PDF es el registro oficial. Tú corriges y después yo reevalúo la misma URL una vez.
- Nombras una URL de producción o de staging, dices qué queda fuera de alcance y la autorizas por escrito.
- Envías un usuario que pueda iniciar sesión. Un segundo rol afina las verificaciones. Igual puedo trabajar con un solo rol y anotar ese límite.
- Pruebo las páginas y las llamadas que ya hacen, y luego dejo el estado de prueba como estaba.
- Recibes severidad, ruta, rol y una corrección que un ingeniero puede dejar en un ticket. El reloj de ese PDF es la revisión de seguridad en 48 horas: empieza cuando el inicio de sesión funciona.
- Tú corriges. Yo reevalúo esa misma URL una vez, sin costo, en un plazo de 14 días.
Si quieres el documento antes de las credenciales, pide el ejemplo desde el formulario de contacto.
Cuándo esto todavía no es el paso correcto
Espera si no hay inicio de sesión, no puedes autorizar la URL o necesitas un sello en lugar de una lista de tickets. Un sitio de marketing es demasiado pronto. También lo es comprar esto cuando la fuga es un trabajo semanal de operaciones o una reserva por chat.
Espera si alguna de estas se cumple.
- El sitio no tiene cuentas. Un folleto no necesita esta revisión.
- El inicio de sesión sigue siendo una maqueta.
- No puedes nombrar a una persona dueña de la URL.
- Un contrato de un cliente exige una certificación que yo no tengo.
- Querías perseguir facturas, o una ruta de reserva dentro de una app de IA. Otra página, otro precio.
- Tienes cuatro productos y quieres un solo número que los cubra todos.
Cómprala cuando una app de Next.js tenga usuarios reales, puedas dar una cuenta de prueba y alguien del equipo vaya a leer una lista priorizada esta semana.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a Next.js security review cost? +
One Next.js application is $2,400 once. $1,200 starts the work and $1,200 is due when the report is delivered. You own the PDF. There is no monthly fee. A second app, a mobile client, or a source-code audit is a separate quote. Public small-app quotes still cluster from about $2,500 to $15,000.
Is middleware enough to protect a Next.js app? +
No. Next.js treats middleware, or the newer proxy check, as optimistic. Authorize again next to the data. Server Actions and Route Handlers are public endpoints. A March 2025 advisory, CVE-2025-29927, covered apps that kept the only check in middleware. Patched releases exist. I still test the action, not the redirect.
How fast is the written report? +
The report is due 48 hours after access works. The clock starts when I can sign in on the URL you named, not when the invoice goes out. One free retest of that same URL is included within 14 days. The PDF has severity, path, role, and a fix. It does not include exploit steps or your credentials.
Do I need to send the GitHub repo? +
No. I review the running app: pages, auth, and the calls the UI already makes. Reading the repository is a different job and a different price. Tell me the Next.js major version and whether you host on Vercel or your own server. A working test user is the access I actually need.
