Costo de la revisión de seguridad del restablecimiento de contraseña: $2,400, es tuyo
El costo de la revisión de seguridad del restablecimiento de contraseña es $2,400 de pago único para una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. El correo de restablecimiento, no un inicio de sesión.
En este artículo· 6 secciones
- 01¿Cuánto cuesta una revisión de seguridad del restablecimiento de contraseña?
- 02¿Qué revisa de verdad esos $2,400?
- 03¿Qué no incluye por $2,400?
- 04¿Cómo corre la revisión desde el correo de restablecimiento hasta el PDF?
- 05Cuando todavía no es el paso correcto
- 06¿Qué tiene que ser cierto antes de que empiece?
El costo de la revisión de seguridad del restablecimiento de contraseña es $2,400 de pago único para una app cuyos usuarios establecen una contraseña nueva desde un correo. $1,200 inician el trabajo. El informe se entrega 48 horas después de que ese restablecimiento funcione con un usuario de prueba. El PDF es tuyo. No hay suscripción. El enlace reemplaza la contraseña.
Respuesta breve: El costo de la revisión de seguridad del restablecimiento de contraseña es $2,400 de pago único, con $1,200 para empezar, para una app que permite a un usuario establecer una contraseña nueva desde un enlace de correo. Reviso que el enlace deje de funcionar después de un uso exitoso, cuánto tiempo sigue vigente un enlace sin usar y si las sesiones anteriores sobreviven al cambio. El informe llega 48 horas después de que el acceso funcione. Es tuyo. El producto de restablecimiento de un proveedor y un pentest acreditado de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad del restablecimiento de contraseña?
El costo de la revisión de seguridad del restablecimiento de contraseña es $2,400 de pago único para una app y $1,200 para empezar; el resto se paga cuando llega el PDF. Ese archivo es tuyo. No estás comprando un asiento de Auth0, un plan de Supabase, una suscripción a un escáner ni un certificado que yo no tengo.
La tabla usa vigencias publicadas, no suposiciones. Auth0 hace que el enlace enviado por correo sea de un solo uso y cierra la sesión al restablecer. La API de tickets de Auth0 usa por defecto 432,000 segundos (5 días) cuando la vigencia no está definida. Supabase deja los enlaces de recuperación en una hora por defecto, y su guía de contraseñas no revela si la dirección existe.
| Qué estás comprando | Precio 2026 | Qué obtienes en realidad |
|---|---|---|
| Restablecimiento de contraseña por correo de Auth0 | Un solo uso; gana el correo más reciente; la sesión expira | Su producto. La vigencia de la URL es un campo del panel |
| Ticket de cambio de contraseña de Auth0 | 5 días si la vigencia no está definida | Una URL que generas. No es una prueba de tu API de restablecimiento |
| Enlace de recuperación de Supabase | 1 hora por defecto, el mismo temporizador que los magic links | Su control. La llamada oculta si la dirección existe |
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, el restablecimiento y lo que sigue funcionando después, informe en 48 horas, un retest |
| Prueba manual de app web o API | $2,500–$5,500 | Calendario más largo, alcance más amplio, evidencia de explotación en el informe |
La guía 2026 de WardenBit ubica la mayoría de los proyectos de apps web entre $2,500 y $15,000, y $100–$3,000 en escaneo mayormente automatizado. Pentestica, actualizado el 2 de octubre de 2026, lista una prueba manual de app web o API en $2,500–$5,500. La mía no incluye evidencia de explotación.
Dos pasadas de esta revisión, con un año de diferencia, son $4,800 en 24 meses. Tres son $7,200 en 36 meses.
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página del sector es revisión de seguridad de sitios web para SaaS. Un correo de inicio de sesión es otro artículo: costo de la revisión de seguridad de magic link.
¿Qué revisa de verdad esos $2,400?
Pido el restablecimiento en una cuenta de prueba que tú me das, defino una contraseña nueva una sola vez y anoto qué sigue funcionando. Esta revisión cubre el correo de restablecimiento en vivo, el enlace y las sesiones que ya estaban abiertas. No entrego una receta para falsificar un enlace.
La guía de pruebas de OWASP dice que un enlace ya usado debe dejar de funcionar, y que un enlace sin usar rara vez debería durar más de una hora. La hoja de referencia de contraseña olvidada dice que la respuesta debe ser la misma para una dirección desconocida, que el token es de un solo uso y que el restablecimiento no debe iniciar la sesión. Un manejador casero suele cambiar la contraseña y dejar abierta la sesión en el navegador de ayer.
Lo registro en hallazgos claros:
- Cuánto tiempo sigue funcionando un enlace de restablecimiento sin usar, frente a la vigencia que crees haber configurado.
- Si el mismo enlace sigue permitiendo definir una contraseña después de un uso exitoso.
- Si un correo de restablecimiento anterior sigue funcionando después de enviar uno más nuevo.
- Si las sesiones que ya estaban abiertas siguen funcionando después de cambiar la contraseña.
- Si «enviar el restablecimiento» responde igual para una dirección que no es de un usuario.
- Si el host del enlace es la app que nombraste y si el restablecimiento se salta un segundo factor que el inicio de sesión normal exige.
La forma del documento es el informe de ejemplo de prueba de penetración. Sin nombres de clientes. Sin pasos de explotación. Sin valores de token.
¿Qué no incluye por $2,400?
Recibes la severidad, la ruta, el rol y una corrección que un ingeniero puede dejar en un ticket, para una app autorizada. No entrego pasos de explotación, una auditoría de un tenant de Auth0, una segunda app ni un certificado que no tengo. El PDF es tuyo. No hay cuota mensual.
Si el correo inicia la sesión del usuario y nunca cambia una contraseña, eso es el artículo del enlace mágico. Un token que genera acceso es una revisión posterior: costo de la revisión de seguridad del refresh token. Cambiar el correo de la cuenta es otra cotización.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es de $3,500 de pago único por un trabajo de operaciones que se repite, como el seguimiento de una factura, y no prueba un correo de restablecimiento.
¿Cómo corre la revisión desde el correo de restablecimiento hasta el PDF?
Tú autorizas una URL, yo uso la cuenta de prueba que envías y el reloj empieza cuando puedo solicitar el restablecimiento. Tu API decide si la contraseña anterior y las sesiones anteriores dejan de funcionar. No parcheo producción dentro de este precio.
| Paso | Qué ocurre |
|---|---|
| Disparador | Los usuarios ya restablecen desde el correo, o un comprador preguntó si el navegador de ayer sigue funcionando |
| Acción | Solicito un restablecimiento y registro qué sigue aceptando la siguiente llamada |
| Sistema de registro | La app, más la severidad, la ruta, el rol y una corrección |
| Escalamiento humano | Tú dejas el cambio en un ticket. No edito producción dentro de este precio |
Envía una autorización por escrito y un usuario de prueba que pueda recibir el restablecimiento. Dime si las sesiones abiertas deben dejar de funcionar. Una nueva prueba gratis de esa misma URL está incluida dentro de 14 días.
Cuando todavía no es el paso correcto
No pagues los $1,200 si hoy nadie puede restablecer una contraseña desde el correo, o si yo no puedo abrir la app de forma legal. Una revisión sin enlace de restablecimiento es un vistazo normal al inicio de sesión. Publica el restablecimiento y después reserva la revisión.
Espera si el correo sigue siendo un ticket. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el correo inicia la sesión del usuario y nunca cambia una contraseña, lee la publicación del magic link en lugar de comprar esta dos veces. Una llamada perdida es la recepcionista, $8,000 de pago único, no esta revisión.
¿Qué tiene que ser cierto antes de que empiece?
Trae la URL, un usuario de prueba y una frase sobre cuánto tiempo crees que vive el restablecimiento. Puedo empezar sin un recorrido por tu proveedor de correo. No puedo empezar sin un restablecimiento que se comporte como en producción.
Antes de pagar, escribe la lista:
- El tiempo de vida que quieres, en minutos, para un enlace de restablecimiento que no se use.
- Si un segundo clic debe fallar, y si un correo anterior debe fallar después de uno más nuevo.
- Si las sesiones abiertas deben cerrarse cuando cambia la contraseña, y si el restablecimiento puede iniciar la sesión del usuario.
- El host que el enlace puede abrir, y si un segundo factor todavía tiene que ejecutarse.
Si quieres el diseño antes de las credenciales, pide la muestra en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto te sirve, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a password reset security review cost? +
Password reset security review cost is $2,400 once for one app, and $1,200 starts it. I review the email that lets a user set a new password, and whether old sessions still work after that change. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does an Auth0 or Supabase reset replace this review? +
No. Auth0's emailed reset link is one use, and a password-change ticket defaults to five days if you leave the lifetime unset. Supabase recovery links follow the email OTP expiry, one hour by default. Those are their controls. This pass asks whether your reset is single-use and whether old sessions die.
Are exploit steps in the PDF, and do you need production secrets? +
I need a test user that can request the reset email, and written permission to use that link. I do not need your production secrets. The PDF has severity, path, role, and a fix. It does not include exploit steps, the reset token, or a certificate I do not hold.
When should I skip a password reset review? +
Skip it if users cannot reset a password from email yet, or if there is no link I am authorized to open. Skip it if a contract names CREST or a letter I do not hold. A magic-link login and a refresh token are different writeups. Booking from an AI app is a different offer.
