Costo de la revisión de seguridad del redirect de OAuth para el callback

El costo de la revisión de seguridad de la redirección OAuth es de $2,400 de pago único para una app cuyo inicio de sesión envía el navegador de vuelta a una URL de callback. $1,200 inician el trabajo. El informe se entrega 48 horas después de que un usuario de prueba pueda completar ese inicio de sesión. El PDF es tuyo. No hay suscripción.

El proveedor de identidad emite el código. Tu callback es la dirección en la que ese código puede caer. Una dirección de retorno suelta es lo que me pagan por revisar.

Respuesta corta: El costo de la revisión de seguridad de la redirección OAuth es de $2,400 de pago único, con $1,200 para empezar, para una app. Reviso la URL de callback a la que regresa el inicio de sesión, si ese retorno coincide con la lista registrada y si una página de tu app reenvía el navegador a otro lugar. El informe llega 48 horas después de que el acceso funcione. Es tuyo. La oferta es la revisión de seguridad de aplicaciones web.

¿Cuánto cuesta una revisión de seguridad de la redirección OAuth?#

$2,400 de pago único para una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando una licencia de proveedor de identidad, una suscripción a un escáner ni un sello que yo no tengo.

La publicación de costos de 2026 de Synack ubica una prueba típica de aplicación web en $5,000 a $30,000. La tabla de 2026 de Blaze Information Security cotiza una app SaaS compleja, con SSO y OAuth incluidos, en $20,000 a $30,000+, a lo largo de dos a tres semanas. Eso es otro calendario y otro entregable.

Qué estás comprando	Precio 2026	Qué obtienes en realidad
Escaneo mayormente automatizado	A menudo por debajo de $3,000	Salida de la herramienta. Poco criterio sobre el callback
Esta revisión de redirección	$2,400 de pago único, $1,200 para empezar	Una app, el callback, la lista de retornos registrados, el informe en 48 horas, una repetición de la prueba
Prueba de SaaS complejo con OAuth	$20,000–$30,000+	Alcance de varias semanas: tenants, pagos, SSO y la API
Prueba típica de app web	$5,000–$30,000	Un trabajo más largo, a menudo redactado para un paquete de cumplimiento

Tres pasadas, con un año de diferencia, son $7,200. Una cotización de $20,000 para un SaaS complejo es otro producto. Los mismos $2,400 están en precios de la revisión de seguridad.

¿Qué revisan los $2,400 en el callback?#

Inicio sesión en la URL que autorizas y registro a dónde regresa el navegador. El requisito es una dirección de retorno exacta, un callback que no reenvíe el navegador más allá y un código que solo tu app pueda completar.

RFC 6749 dice que el endpoint de redirección debe ser un URI absoluto y no debe incluir un fragmento. Cuando el URI completo quedó registrado, el servidor de autorización debe comparar ambos con una comparación simple de cadenas. En la solicitud del token, un URI de redirección enviado al inicio debe volver idéntico.

RFC 9700 exige una coincidencia exacta de cadenas, excepto los números de puerto en las redirecciones a localhost para apps nativas. Los clientes y los servidores de autorización no deben exponer una URL que reenvíe el navegador a una dirección arbitraria tomada de un parámetro de consulta. El cliente también debe frenar una solicitud entre sitios en el callback: PKCE cuando el servidor lo admite, el nonce de OpenID en esos flujos, o un valor state de un solo uso ligado al navegador.

En esta pasada registro:

• Si la dirección de retorno que usa tu app es la que dices que está registrada, carácter por carácter, incluida la ruta.
• Si un comodín, un prefijo o una ruta parcial está haciendo el trabajo de un URI exacto.
• Si el callback, o una página a la que llega, reenvía el navegador a una dirección incluida en la solicitud.
• Si la llamada del token repite el mismo URI de redirección con el que empezó el inicio de sesión.
• Si PKCE o un valor state de un solo uso está de verdad en ese callback.

La forma del documento es el informe de pentest de muestra. Sin nombres de clientes. Una pasada más amplia de inicio de sesión, restablecimiento y sesión es otro corte, cubierto en la revisión de seguridad de autenticación.

¿Qué no incluye el precio de $2,400?#

Obtienes la severidad, la ruta del callback, el rol y una corrección que un ingeniero puede dejar en un ticket, para una app autorizada. No reescribo el panel del proveedor de identidad, no entrego pasos de explotación, no pruebo un segundo cliente ni te entrego un certificado que yo no tengo.

La factura de un tenant de Auth0, Clerk, WorkOS o Stytch es producto de ellos. Este precio no incluye la administración del tenant, un token de Management API ni una reescritura de la configuración dentro de su consola. No necesito el client secret. Si el secreto está en el paquete del navegador, nombro la ruta. No imprimo el secreto.

Un segundo origen web o un cliente móvil es otra cotización. No parcheo producción dentro de este precio.

Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es de $3,500 de pago único para un trabajo operativo que se repite, como el seguimiento de una factura, y no inspecciona una URL de callback.

¿Cómo va la revisión desde el acceso hasta el PDF?#

Autorizas una URL, yo completo el inicio de sesión con el usuario de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. El PDF es lo que conservas. No cambio por ti la lista de redirecciones registradas.

Paso	Qué ocurre
Disparador	Un comprador preguntó cómo queda cerrado el callback, o agregaste una URL de retorno nueva
Acción	Completo el inicio de sesión y comparo la dirección de retorno con la lista que pegaste
Sistema de registro	La app en ejecución, más los hallazgos escritos: severidad, ruta, rol, corrección
Escalamiento humano	Tú dejas el cambio en un ticket. No edito producción dentro de este precio

Envía autorización por escrito, un usuario de prueba que funcione y los URI de redirección que crees que producción registró. Di si PKCE está activo. Nombra cualquier página que deba seguir pública. Una repetición de prueba sin costo de esa misma URL está incluida dentro de 14 días.

Cuándo esto todavía no es el paso correcto#

Paga los $1,200 cuando yo pueda abrir la app de forma legal y un usuario de prueba pueda completar el inicio de sesión. Un certificado con nombre que esta oferta no incluye corresponde a otra firma. Un callback que todavía no existe es una página que falta.

Espera a que alguien pueda completar el inicio de sesión hoy y a que la dirección de retorno sea una URL a la que yo pueda llegar. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si la pregunta es solo qué audiencia debe aceptar una API de Auth0, eso es una revisión de tenant, no esta pasada del callback. La misma revisión de seguridad de aplicaciones web sigue cubriendo la autenticación y la API cuando el inicio de sesión no es OAuth.

¿Qué debe estar listo antes de que empiece?#

Trae la URL, un usuario de prueba que pueda completar el inicio de sesión y las direcciones de retorno exactas que crees que están registradas. Puedo empezar sin acceso de administrador del proveedor de identidad. No puedo empezar desde una captura de un panel.

Antes de pagar, escribe qué callback usa producción, qué URI adicionales están registrados para staging y si un parámetro de consulta de tu sitio puede enviar el navegador a otro lugar. Si dos roles no deben compartir una sesión después del inicio de sesión, dilo.

Si quieres el formato antes de las credenciales, pide la muestra desde el formulario de contacto.

$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.