Costo de la revisión de seguridad de URL prefirmada de S3, $2,400 de pago único
El costo de la revisión de seguridad de URL prefirmada de S3 es $2,400 de pago único por app, $1,200 para empezar. El informe escrito es tuyo. Sin suscripción. Se entrega 48 horas después del acceso.
En este artículo· 6 secciones
Un enlace que caduca no es lo mismo que un archivo privado.
El costo de la revisión de seguridad de URLs prefirmadas de S3 es $2,400 de pago único para una aplicación web que entrega un enlace de carga o descarga de Amazon S3. $1,200 inician el trabajo. Escribo el informe 48 horas después de que el acceso funcione. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad de URLs prefirmadas de S3 es $2,400 de pago único, con $1,200 para empezar, dentro de la revisión de seguridad de aplicaciones web. Reviso quién puede generar un enlace de S3 por tiempo limitado, cuánto dura y si la persona equivocada todavía puede abrir el archivo. El informe es tuyo. Una revisión de reglas de Firebase Storage y una carta de cumplimiento son productos distintos.
¿Cuál es el costo de la revisión de seguridad de URLs prefirmadas de S3?
El costo de la revisión de seguridad de URLs prefirmadas de S3 es $2,400 de pago único para una aplicación. $1,200 la inician y el saldo se paga cuando se entrega el informe. El PDF es tuyo. No hay cuota mensual. Una segunda aplicación, una auditoría de código fuente o una carta de certificación es otra cotización.
A los 24 meses y a los 36 meses el monto en efectivo sigue siendo $2,400. Sin cuota por usuario. La misma cifra en precios de la revisión de seguridad.
La guía de uso compartido de Amazon dice que los objetos son privados de forma predeterminada. Una URL prefirmada es un acceso por tiempo limitado a partir de las credenciales que la firmaron. La revisión pregunta si tu aplicación sigue comportándose así después de imprimir el enlace.
| Qué compras | Precio | Qué recibes |
|---|---|---|
| Esta revisión, una aplicación web | $2,400 de pago único, $1,200 para empezar | El frontend, la autenticación y la API que genera enlaces de S3. Escrito 48 horas después del acceso. Una nueva prueba de la misma URL. |
| Una segunda aplicación | Otros $2,400 | El mismo alcance, una nueva autorización por escrito |
| Auditoría de código fuente o carta de certificación | No es esta cotización | Trabajo aparte. No invento certificaciones. |
| Workflow Automation | $3,500 de pago único | Un trabajo de operaciones con nombre, como archivar esos PDF en QuickBooks. No es una revisión de seguridad. |
| AI Front Door | $3,500, $7,500 o $14,000 de pago único | Los clientes reservan o pagan desde ChatGPT, Claude, Grok u otra aplicación compatible con MCP. No es una revisión de enlaces de archivos. |
¿Qué revisa esto en el enlace?
Inicio sesión con los roles que ya vendes y registro qué archivos pueden abrir o reemplazar esas sesiones. La revisión cubre las pantallas en vivo, el inicio de sesión y la ruta que genera el enlace. El PDF nombra la severidad, la ruta y el rol. No incluye una receta de carga que funcione.
Busco seis cosas:
- Quién firma la URL y si una clave de acceso de larga duración queda en el navegador.
- La vigencia que pretendías frente a la credencial que realmente la firmó.
- La clave del objeto: el prefijo de un cliente, o una carpeta compartida.
- Descarga frente a carga. Abrir la factura de otra persona es un hallazgo distinto de escribir una clave que tú no asignaste.
- La política de POST. AWS documenta una condición
content-length-range. Su ejemplo permite de 1 a 10 MiB. Reviso si el tamaño y el tipo de contenido están fijados. - Una política de bucket o una ACL que deja el objeto legible sin firma.
Si los archivos están en Cloud Storage for Firebase, eso es una revisión de reglas de seguridad de Firebase. Esta publicación es el enlace de S3 que imprime tu servidor.
¿Cómo debe pasar un archivo de la aplicación a S3?
El servidor debe generar un enlace de corta duración para una clave de objeto después de que el usuario haya iniciado sesión. S3 guarda los bytes. Tu base de datos guarda qué cliente es dueño de esa clave. Una persona interviene cuando la clave, el tipo o el tamaño no coincide con la fila.
| Paso | Acción | Sistema de registro | Escalación humana |
|---|---|---|---|
| Disparador | Un usuario con sesión iniciada adjunta una foto, un PDF o un archivo del trabajo | La sesión de tu aplicación | Sin sesión, no hay enlace |
| Generar | El servidor firma un GET, PUT o POST para una clave | Las credenciales que firman, fuera del navegador | La firma falla, o la clave queda fuera del prefijo de ese cliente |
| Guardar | El cliente carga o descarga por esa URL | El objeto de S3 | El tamaño o el tipo de contenido queda fuera de la política que definiste |
| Registrar | Guardar la clave en la fila del trabajo, de la factura o del cliente | Tu base de datos | El objeto existe y la fila no, o al revés |
| Caducar | La URL caduca en el plazo que elegiste | S3 rechaza la firma | El equipo todavía necesita el archivo después del vencimiento: genera un enlace nuevo, no hagas público el objeto |
El comando presign de la AWS CLI usa por defecto 3,600 segundos si omites --expires-in. Indica la vigencia que querías antes de que empiece. Archivar el PDF en QuickBooks es Workflow Automation, $3,500 de pago único, en vivo en 7 a 10 días. Ese trabajo no revisa quién puede abrir el archivo.
¿Cuánto tiempo debe seguir vigente ese enlace?
Signature Version 4 permite como máximo 604,800 segundos, siete días, y solo cuando un usuario de IAM de larga duración firma la URL. Las credenciales temporales caducan con la sesión. Revoca la clave y el enlace también caduca, aunque la cadena de consulta todavía diga siete días.
AWS documenta el tope así. Un usuario de IAM con Signature Version 4 puede firmar hasta por siete días. X-Amz-Expires acepta de 1 a 604,800 segundos. Las credenciales temporales no pueden durar más que la sesión. Un rol de instancia de EC2 suele ser de seis horas, así que un rol de Lambda que “firma por una semana” caduca con la sesión. La consola de S3 permite de 1 minuto a 12 horas. La CLI y los SDK pueden llegar a siete días. Elimina o desactiva la clave de acceso y la URL se detiene.
Una descarga de cliente que dura un año es otro mecanismo. AWS apunta ese caso a las URL firmadas de CloudFront. Construir esa distribución no entra en los $2,400. Si la aplicación simula que una sesión de rol puede firmar por un año, lo anoto y me detengo.
¿Qué no está incluido por $2,400?
Obtienes una aplicación autorizada: la severidad, la ruta, el rol y una corrección que un ingeniero puede dejar en un ticket. No entrego pasos de explotación, una segunda aplicación de producción, una reconstrucción del bucket ni un certificado que yo no tenga. El PDF es tuyo. No hay cuota mensual en este precio.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Una prueba de red y una auditoría completa del código fuente son cotizaciones aparte. Sacar la firma del navegador es trabajo de tu ingeniero después del hallazgo.
Cuando esto todavía no es el paso correcto
Omite la revisión cuando no hay una URL que yo tenga permiso de usar, cuando un contrato nombra una certificación que yo no tengo, o cuando el trabajo real es un flujo de trabajo de operaciones o un flujo de reservas. Una política de bucket de plantilla no es este producto.
No lo compres todavía si no puedes autorizar una prueba en una URL que sea tuya. El reloj de 48 horas empieza cuando el acceso funciona. No lo compres para una carta de CREST o de SOC. No voy a inventar una. No lo compres para que yo reconstruya el proceso de carga. El informe dice qué hay que cambiar.
Las reglas de Firebase Storage son la otra revisión, los mismos $2,400. Archivar facturas es Workflow Automation a $3,500. Que los clientes reserven desde ChatGPT, Claude o Grok es AI Front Door, desde $3,500, y no revisa quién puede abrir un objeto de S3.
Si la lista de motivos para omitirla no coincide con tu aplicación, empieza la revisión con $1,200. Necesito la URL, un inicio de sesión de cliente y autorización por escrito. El informe llega 48 horas después de que el acceso funcione.
Si prefieres hablar primero del flujo del archivo, reserva una llamada de 20 minutos. La usamos para ver si esta revisión encaja. No reemplaza el formulario de inicio.
Preguntas frecuentes
How much does an S3 presigned URL security review cost? +
An S3 presigned URL security review costs $2,400 once for one app, and $1,200 starts it. I review the live UI, the login, and the upload and download links that UI already hands out. The report is written 48 hours after access works. You own the PDF. There is no monthly fee. A second app is a second quote.
Does a seven-day link mean the file stays private? +
No. Amazon S3 objects are private until a policy or ACL says otherwise. A presigned URL is time-limited permission from the credentials that signed it. A bucket that already allows public reads does not need that signature. The review writes down which of those is true on your app.
What is not included for $2,400? +
Exploit steps, a second app, a bucket rebuild, and any certification letter. I do not invent certifications. The PDF names severity, path, role, and a fix. A redacted sample is available before you pay the start fee. One retest of the same URL is included.
When should I skip this review? +
Skip it if there is no URL I am authorized to use, or no test login. Skip it if a contract names CREST or a letter I do not hold. Firebase Storage rules are a different pass. Invoice chase and booking from an AI app are different offers at different prices.
