Costo de la revisión de seguridad de passkeys: $2,400, quédate con ese PDF
El costo de la revisión de seguridad de passkeys es de $2,400 de pago único por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. Inicias sesión con un passkey, no con un enlace por correo.
En este artículo· 6 secciones
El costo de la revisión de seguridad de passkeys es $2,400 de pago único para una app cuyos usuarios inician sesión con un passkey. $1,200 inician el trabajo. El informe se entrega 48 horas después de que ese inicio de sesión de prueba funcione. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad de passkeys es $2,400 de pago único, con $1,200 para empezar, para una app que inicia la sesión de las personas con un passkey. Reviso la vinculación con la parte de confianza, si la verificación del usuario de verdad es obligatoria y qué sesión emite la API, y después escribo el informe 48 horas después de que el acceso funcione. Es tuyo. Un gestor de contraseñas, un inicio de sesión con enlace mágico y un pentest acreditado de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de passkeys?
$2,400 de pago único por una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando un puesto de gestor de contraseñas, un complemento mensual de passkeys ni un certificado que yo no tengo.
Un passkey es una credencial WebAuthn descubrible. La hoja de referencia de seguridad de passkeys de OWASP lo dice claro: el autenticador guarda la clave privada, la parte de confianza almacena la clave pública y la credencial queda limitada a un identificador de parte de confianza. Esa vinculación solo resiste el phishing cuando tu servidor la comprueba.
| Qué estás comprando | Precio 2026 | Qué obtienes de verdad |
|---|---|---|
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, la ceremonia del passkey y la sesión que crea, informe en 48 horas, una repetición de la prueba |
| App web de HackNow, incluida su API | Desde $5,000 | App más amplia, repetición incluida, carta de atestación incluida |
| Aplicación web o API de Pentestica | $2,500–$5,500 | Una prueba manual de la app o de la API, no un pase de passkeys en 48 horas |
| App web SaaS pequeña, mercado | $3,000–$8,000 | Unos 3–5 días, un rol, toda la app en lugar de la ceremonia |
La página de precios de HackNow, revisada en octubre de 2026, empieza una aplicación web, incluida su propia API, en $5,000, con una repetición de la prueba y una carta de atestación. El benchmark de Pentestica lista una aplicación web o API en $2,500–$5,500. La guía 2026 de SaaS Security ubica una app web SaaS pequeña, de unas 20 páginas y un rol, en $3,000–$8,000 a lo largo de 3–5 días.
Dos pasadas de esta revisión, con un año de diferencia, son $4,800 a lo largo de 24 meses. Tres son $7,200 a lo largo de 36 meses. No estás rentando el PDF.
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página del sector es revisión de seguridad web para SaaS. Un pase de enlace por correo es otro artículo: costo de la revisión de seguridad de enlaces mágicos.
¿Qué cubre ese chequeo de $2,400 de una passkey?
Registro una passkey en una cuenta de prueba que me das, inicio sesión una vez y anoto lo que la API acepta. La revisión cubre la ceremonia en vivo y la sesión que esas páginas ya crean. No entrego una receta para falsificar una aserción.
OWASP trata la presencia del usuario y la verificación del usuario como indicadores distintos. Un toque no es un PIN ni un dato biométrico. El servidor tiene que pedir la verificación y revisar el indicador que regresa.
Anoto, en hallazgos claros:
- Si el identificador de la relying party y el origen coinciden con la lista de permitidos que crees haber configurado.
- Si la verificación del usuario es obligatoria o si basta un toque de presencia.
- Si se puede agregar una passkey nueva desde una sesión de larga duración, sin un inicio de sesión nuevo.
- Si la recuperación por correo o por SMS sigue abriendo la cuenta cuando la passkey falla.
- Si una passkey sincronizada y una clave ligada al dispositivo se tratan como la misma cosa.
NIST SP 800-63B-4 dice que los autenticadores sincronizables no deben usarse en el Nivel de Garantía de Autenticación 3, porque ese nivel exige una clave privada no exportable. Si tu cuestionario dice AAL3 y tus usuarios sincronizan la passkey a través de una cuenta en la nube, el hallazgo es ese desajuste. Yo no emito la carta.
OWASP también dice que un contador de firmas no es un detector universal de clones. Algunos autenticadores nunca implementan uno, y una credencial sincronizada no es estrictamente monótona. Anoto la política que realmente aplicas. No te digo que bloquees a cada usuario cuyo contador se queda en cero.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Sin pasos de explotación.
¿Qué no está incluido por $2,400?
Recibes la severidad, la ruta, el rol y una corrección que un ingeniero puede dejar en un ticket, para una sola aplicación autorizada. No entrego pasos de explotación, una auditoría del producto de un proveedor, una segunda aplicación ni un certificado que no poseo. El PDF es tuyo. No hay cuota mensual.
Esto no es una revisión de magic link. Si el inicio de sesión es una URL por correo, ese es el artículo de magic link, no este. Un refresh token que emite nuevos access tokens es una revisión posterior: costo de la revisión de seguridad del refresh token. Mismo precio, distinta ceremonia.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es de $3,500 de pago único por un trabajo operativo que se repite, como el seguimiento de una factura, y no prueba una passkey.
¿Cómo va la revisión desde la ceremonia hasta el PDF?
Autorizas una URL, uso la cuenta de prueba que envías y el reloj empieza cuando puedo registrar una passkey. Tu API decide si acepta la aserción. El PDF es lo que te quedas. No parcheo producción dentro de este precio.
| Paso | Qué pasa |
|---|---|
| Disparador | Los usuarios ya inician sesión con una passkey, o un comprador preguntó si ese inicio de sesión es todo el control |
| Acción | Registro una passkey, inicio sesión una vez y comparo esa sesión con las comprobaciones que la página de inicio de sesión ya ejecuta |
| Sistema de registro | El almacén de credenciales de la app, más los hallazgos por escrito: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú abres el ticket del cambio. No edito producción dentro de este precio |
Envía la autorización por escrito y un usuario de prueba que pueda crear una passkey. Di si las passkeys sincronizadas están en el alcance o solo una llave de hardware. Una nueva prueba gratis de esa misma URL está incluida dentro de 14 días.
Cuando esto todavía no es el paso correcto
No pagues los $1,200 si hoy nadie puede iniciar sesión con una passkey, o si no puedo abrir la app de forma legal. Un pase sin ceremonia es un repaso normal del inicio de sesión. Publica la passkey y luego reserva la revisión.
Espera si el flujo todavía es un ticket. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si la única pregunta es el enlace del correo, o el refresh token, compra ese pase en lugar de este dos veces. Una llamada perdida es la recepcionista, $8,000 una vez, no esta revisión.
¿Qué tiene que estar listo antes de que empiece?
Trae la URL, un usuario de prueba y una frase sobre si se exige la verificación del usuario. Puedo empezar sin un recorrido por tu gestor de contraseñas. No puedo empezar sin un inicio de sesión que se comporte como producción.
Antes de pagar, escribe la lista:
- El identificador del relying party y los orígenes que pueden completar la ceremonia.
- Si basta un toque de presencia, o si se exige la verificación del usuario.
- Si se permite una passkey sincronizada, o solo una clave vinculada al dispositivo.
- La ruta de recuperación que sigue funcionando si se pierde la passkey.
Si quieres el esquema antes de las credenciales, pide la muestra en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a passkey security review cost? +
Passkey security review cost is $2,400 once for one app, and $1,200 starts it. I review the live passkey ceremony and the session the API creates after it. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does a synced passkey count as AAL3? +
No. NIST SP 800-63B-4 says syncable authenticators shall not be used at AAL3, because that level requires a non-exportable private key. A synced passkey can still be the right login for a normal SaaS app. This review records which kind you accept. It does not issue an AAL letter.
Is this the same as a magic-link or refresh-token review? +
No. A magic link is an email URL that creates a session. A refresh token mints a new access token. A passkey is a public key the server stores and a private key the authenticator keeps. Each one is its own $2,400 pass. Buying this does not cover the other two.
Are exploit steps in the PDF? +
I need a test user that can register a passkey, and written permission to use that URL. I do not need production secrets. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
