Costo de la revisión de seguridad del refresh token: $2,400, es tuyo
El costo de la revisión de seguridad del refresh token es $2,400 de pago único para una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. El token que genera el acceso.
En este artículo· 6 secciones
- 01¿Cuánto cuesta una revisión de seguridad del refresh token?
- 02¿Qué revisan los $2,400 cuando un refresh token emite acceso?
- 03¿Qué no está incluido por $2,400?
- 04¿Cómo avanza la revisión desde la llamada de refresh hasta el PDF?
- 05Cuándo esto todavía no es el paso correcto
- 06¿Qué debe cumplirse antes de que empiece?
El costo de la revisión de seguridad del refresh token es $2,400 de pago único para una app cuyo inicio de sesión puede emitir un access token nuevo a partir de un refresh token de mayor duración. $1,200 inician el trabajo. El informe se entrega 48 horas después de que esa llamada de refresh funcione con un usuario de prueba. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad del refresh token es $2,400 de pago único, con $1,200 para empezar, para una app que cambia un refresh token por un access token nuevo. Reviso si ese refresh token rota, cuánto tiempo sigue funcionando uno sin usar y qué puede hacer el access token nuevo. El informe llega 48 horas después de que el acceso funcione. Es tuyo. Una revisión del callback de OAuth y un pentest acreditado de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad del refresh token?
$2,400 de pago único para una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando un asiento de Auth0, una suscripción a un escáner ni un certificado que yo no tengo.
La tabla usa duraciones publicadas, no suposiciones. La duración del access token de Auth0 es por defecto 86,400 segundos (24 horas), con un tope de 30 días. La expiración del refresh de Auth0 deja la duración por inactividad en 2,592,000 segundos (30 días) por defecto. Si desactivas la duración máxima, Auth0 dice que la duración absoluta es indefinida. Eso es su producto, no tu endpoint de tokens.
| Qué estás comprando | Precio 2026 | Qué obtienes en realidad |
|---|---|---|
| Access token de Auth0 | 24 horas por defecto | Su ajuste de API. No es una prueba de tu llamada de refresh |
| Duración por inactividad del refresh de Auth0 | 30 días por defecto; la absoluta puede ser indefinida | Su producto. Un refresh token filtrado sigue emitiendo acceso hasta que caduca |
| Escaneo mayormente automatizado | $100–$3,000 | Salida de la herramienta. Poco criterio sobre la reutilización |
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, la llamada de refresh y el access token que emite, informe en 48 horas, una repetición de la prueba |
| Prueba manual de app web o API | $2,500–$5,500 | Calendario más largo, app más amplia, evidencia de explotación en el informe |
La guía 2026 de WardenBit asigna $100–$3,000 al escaneo mayormente automatizado. La guía de precios de Pentestica, actualizada el 2 de octubre de 2026, lista una prueba manual de aplicación web o API en $2,500–$5,500, con evidencia de explotación en el informe. El mío no. Dos pasadas, con un año de diferencia, son $4,800 a lo largo de 24 meses. Tres son $7,200 a lo largo de 36 meses.
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página del sector es revisión de seguridad web para SaaS. Una pasada del URI de callback es un artículo distinto: costo de la revisión de seguridad del redirect de OAuth.
¿Qué revisan los $2,400 cuando un refresh token emite acceso?
Hago un refresh una vez con el usuario de prueba que envías y registro si el refresh token anterior todavía devuelve otro access token. La pasada cubre esa llamada, el access token nuevo y si cerrar sesión o cambiar la contraseña detiene la familia. No entrego una receta para robar uno.
El RFC 9700 dice que el refresh token de un cliente público debe estar atado a quien lo envía o debe rotar: un refresh token nuevo en cada refresh del access token, y el anterior queda invalidado. Reutilizarlo revoca el refresh token activo. El servidor no puede distinguir qué parte presentó el token incorrecto. Los refresh tokens deben expirar tras la inactividad. La guía de rotación de Auth0 revoca la familia si hay reutilización. Un endpoint hecho en casa suele conservar el mismo refresh token y, aun así, trata el access token como de corta duración.
Registro, en hallazgos claros:
- Si un segundo uso del mismo refresh token sigue devolviendo un access token después de un refresh exitoso.
- Si el access token nuevo es más limitado que el scope consentido y qué API nombra.
- Cuánto tiempo sigue funcionando un refresh token sin usar, frente a la duración por inactividad que crees haber configurado.
- Si cerrar sesión o cambiar la contraseña detiene el siguiente refresh.
- Si el refresh token se queda en el endpoint de tokens que indicaste, y no en un lugar que me dijiste que era público.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Sin pasos de exploit. Sin valores de tokens.
¿Qué no está incluido por $2,400?
Obtienes la severidad, la ruta del refresh, el rol y una corrección que un ingeniero puede pasar a ticket, para una app autorizada. No entrego pasos de exploit, una auditoría del tenant de Auth0, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
No necesito ser admin del tenant. Si el refresh token está en un bundle del navegador, indico la ruta y no imprimo el token. Un enlace por correo es un artículo distinto: costo de la revisión de seguridad del magic link. Una cookie de sesión que nunca llega a una llamada de refresh es una pasada distinta. Una segunda app es otra cotización.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único para un trabajo de operaciones que se repite, como el seguimiento de una factura, y no prueba un endpoint de tokens.
¿Cómo avanza la revisión desde la llamada de refresh hasta el PDF?
Autorizas una app, yo hago el refresh con el usuario de prueba que envías y el reloj arranca cuando esa llamada funciona. El PDF es lo que conservas. No roto los tokens de producción por ti.
| Paso | Qué ocurre |
|---|---|
| Disparador | Un comprador preguntó si un refresh token robado sigue emitiendo acceso, o acabas de lanzar la rotación |
| Acción | Hago un refresh una vez y registro qué sigue aceptando la siguiente llamada |
| Sistema de registro | El endpoint de tokens en funcionamiento, más los hallazgos escritos: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú pasas el cambio a ticket. No edito producción dentro de este precio |
Envía una autorización por escrito, un usuario de prueba que pueda obtener un refresh token y las duraciones que crees tener configuradas. Indica si cerrar sesión o cambiar la contraseña debe anular la familia. Una repetición gratuita de la prueba de esa misma app está incluida dentro de 14 días.
Cuándo esto todavía no es el paso correcto
No pagues los $1,200 si la app todavía no emite un refresh token, o si no puedo llamar legalmente al endpoint de tokens. Una pasada sin refresh es un repaso superficial del inicio de sesión. Lanza la llamada de refresh y luego reserva la revisión.
Espera si la duración sigue en un ticket y no hay nada en vivo que llamar. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si la única pregunta es a dónde regresa el navegador después del inicio de sesión, lee el artículo del redirect en lugar de comprar esta dos veces. Una llamada no atendida es la recepcionista, $8,000 de pago único, no esta revisión.
¿Qué debe cumplirse antes de que empiece?
Trae un endpoint de tokens, un usuario de prueba y las duraciones por inactividad y absoluta que crees haber configurado. Empiezo cuando esa llamada de refresh se comporta como en producción, no cuando el panel del proveedor se ve terminado.
Antes de pagar, escribe la lista:
- La duración por inactividad y la duración absoluta que buscas, en días.
- Si un refresh token ya usado debe fallar en la siguiente llamada.
- La audiencia y los scopes que puede traer un access token nuevo.
- Si cerrar sesión o cambiar la contraseña debe detener la familia.
Si quieres el formato antes de las credenciales, pide el ejemplo desde el formulario de contacto.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a refresh token security review cost? +
Refresh token security review cost is $2,400 once for one app, and $1,200 starts it. I review the call that trades a refresh token for a new access token, and whether the old refresh token still works after that trade. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does Auth0 rotation replace this review? +
No. RFC 9700 says a public client must bind the refresh token to the client, or rotate it so a used token dies. Auth0's idle default is 30 days, and an access token there defaults to 24 hours. Those are their settings. This pass asks whether your token endpoint still mints access from a refresh token you already used.
Are exploit steps in the PDF, and do you need production secrets? +
I need a test user that can obtain a refresh token, and written permission to call that endpoint. I do not need your production secrets. The PDF has severity, path, role, and a fix. It does not include exploit steps, the token value, or a certificate I do not hold.
When should I skip a refresh token review? +
Skip it if the app does not issue a refresh token yet, or if there is no endpoint I am authorized to call. Skip it if a contract names CREST or a letter I do not hold. An OAuth callback and a magic-link login are different writeups. Booking from an AI app is a different offer.
