Costo de la revisión de seguridad de cookies de sesión: $2,400, es tuyo
El costo de la revisión de seguridad de cookies de sesión es $2,400 de pago único por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. Flags, fijación de sesión y cierre de sesión.
En este artículo· 6 secciones
- 01¿Cuánto cuesta una revisión de seguridad de la cookie de sesión?
- 02¿Qué revisa el servicio de $2,400 en la cookie de sesión?
- 03¿Qué no está incluido por $2,400?
- 04¿Cómo corre la revisión desde la cookie hasta el PDF?
- 05Cuándo esto todavía no es el paso correcto
- 06¿Qué debe ser cierto antes de que empiece?
El costo de la revisión de seguridad de la cookie de sesión es $2,400 de pago único para una app cuyo usuario con sesión iniciada es una cookie que el navegador vuelve a enviar. $1,200 inician el trabajo. El informe se entrega 48 horas después de que ese inicio de sesión de prueba funcione. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad de la cookie de sesión es $2,400 de pago único, con $1,200 para empezar, para una app que mantiene al usuario con sesión iniciada en una cookie. Reviso Secure, HttpOnly y SameSite, si el inicio de sesión emite un id nuevo y si el cierre de sesión destruye ese id en el servidor. El informe llega 48 horas después de que el acceso funcione. Es tuyo. Una pasada de refresh token y un pentest acreditado de varias semanas son compras distintas. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de la cookie de sesión?
$2,400 de pago único por una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando un banner de consentimiento de cookies, una licencia de escáner ni un certificado que yo no tengo. Dos revisiones con un año de diferencia son $4,800 en 24 meses.
La comparación usa rangos publicados, no estimaciones. La guía 2026 de WardenBit pone $100–$3,000 en un escaneo mayormente automatizado. La guía de precios de Pentestica, actualizada por última vez el 4 de noviembre de 2026, lista una prueba manual de aplicación web o API en $2,500–$5,500, con evidencia de explotación en el informe. La mía no. Tres pasadas, con un año de diferencia, son $7,200 en 36 meses.
| Qué estás comprando | Precio 2026 | Qué obtienes de verdad |
|---|---|---|
| Banner de consentimiento de cookies o licencia de escáner | A menudo mensual | Un banner o un volcado de la herramienta. No es una prueba de tu cookie de inicio de sesión |
| Escaneo mayormente automatizado | $100–$3,000 | Salida de la herramienta. Criterio escaso sobre fijación de sesión o cierre de sesión |
| Esta revisión | $2,400 de pago único, $1,200 para empezar | Una app, la cookie de sesión, informe en 48 horas, una reprueba |
| Prueba manual de aplicación web o API | $2,500–$5,500 | Calendario más largo, app más amplia, evidencia de explotación en el informe |
Los mismos $2,400 están en precios. Si el producto es una app SaaS con cuentas de clientes, la página del sector es revisión de seguridad de sitios web para SaaS. Un token que genera acceso nuevo sin una cookie es otro texto: costo de la revisión de seguridad del refresh token.
¿Qué revisa el servicio de $2,400 en la cookie de sesión?
Inicio sesión una sola vez con el usuario de prueba que tú envías y registro la cookie que el navegador conserva. La revisión cubre los atributos, si el id previo al inicio de sesión sigue funcionando y si cerrar sesión detiene la siguiente solicitud. No entrego una receta para robar una cookie.
La hoja de referencia de OWASP sobre gestión de sesiones trata Secure, HttpOnly y un SameSite explícito de Strict o Lax como obligatorios. SameSite es defensa en profundidad, no un token CSRF. Nunca envíes SameSite=None sin Secure, y no confíes en el valor predeterminado del navegador. Un prefijo __Host- obliga a Secure, sin Domain y con Path=/.
La misma hoja pide al menos 64 bits de entropía (16 caracteres hexadecimales). Un prefijo fijo reduce eso a la mitad. Si tú generas el id, usa un CSPRNG de al menos 128 bits. Los tiempos de inactividad citados son de 2–5 minutos para apps de alto valor y de 15–30 minutos para las de bajo riesgo, con un tiempo absoluto de 4–8 horas para una jornada completa de oficina. Comparo esos valores con lo que tu servidor aplica.
La prueba de fijación de sesión de OWASP dice que la falla es conservar el mismo valor de cookie antes y después de la autenticación. Invalida el id anterior y emite otro después de un inicio de sesión exitoso. Cerrar el navegador no es cerrar sesión. La hoja de referencia dice que los eventos de cierre no son confiables, así que el servidor tiene que expirar el id.
Registro, en hallazgos claros:
- Si la cookie lleva
Secure,HttpOnlyy unSameSiteexplícito, y si un prefijo__Host-o__Secure-coincide con la forma en que está configurada. - Si el id emitido antes del inicio de sesión sigue aceptándose después del inicio de sesión.
- Los tiempos de vida por inactividad y absoluto que el servidor aplica, frente a los números que tú anotaste.
- Si el cierre de sesión, un cambio de contraseña o una cuenta deshabilitada detiene la siguiente solicitud que todavía envía la cookie anterior.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Sin pasos de explotación. Sin valores de cookie.
¿Qué no está incluido por $2,400?
Recibes la severidad, el nombre y la ruta de la cookie, el rol y una corrección que un ingeniero puede dejar en un ticket, para una sola app autorizada. No entrego pasos de explotación, una auditoría de tenant de un proveedor, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
No necesito el almacén de cookies de tu producción. Si el id también aparece en una página o en una URL, nombro esa ruta y no imprimo el valor. Un refresh token, un correo con enlace mágico y una segunda app son, cada uno, una cotización distinta.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta cuesta $3,500 de pago único por un trabajo de operaciones que se repite, como el seguimiento de cobro de una factura, y no prueba una cookie de inicio de sesión.
¿Cómo corre la revisión desde la cookie hasta el PDF?
Autorizas una sola app, inicio sesión con el usuario de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. El PDF es lo que te quedas. No cambio las cookies de producción dentro de este precio.
| Paso | Qué pasa |
|---|---|
| Disparador | Un comprador preguntó si una cookie robada todavía abre la cuenta, o si el inicio de sesión sigue reusando el id anónimo |
| Acción | Inicio sesión una vez y registro los flags de la cookie, el cambio de id y lo que el cierre de sesión todavía acepta |
| Sistema de registro | La app en ejecución, más los hallazgos por escrito: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú abres el ticket del cambio. No edito producción dentro de este precio |
Envía la autorización por escrito y un usuario de prueba. Una nueva prueba gratuita de esa misma app está incluida dentro de los 14 días.
Cuándo esto todavía no es el paso correcto
No pagues los $1,200 si el usuario con sesión iniciada todavía no es una cookie, o si no puedo usar el inicio de sesión de forma legal. Un pase sin cookie de sesión es un repaso normal del inicio de sesión. Publica la cookie y después reserva la revisión.
Espera si nada en vivo va a aceptar un inicio de sesión. Contrata la firma que tiene CREST si el cuestionario exige ese nombre. Si la única pregunta es un refresh token que sigue emitiendo acceso, compra ese informe en lugar de este dos veces. Una llamada perdida es la recepcionista, $8,000 de pago único, no esta revisión.
¿Qué debe ser cierto antes de que empiece?
Trae un inicio de sesión, un usuario de prueba y los tiempos de inactividad y absoluto que crees que el servidor aplica. Empiezo cuando esa cookie se comporta como en producción, no cuando el banner de consentimiento se ve terminado.
Antes de pagar, escribe la lista:
- El nombre de la cookie y si debe tener alcance
__Host-solo para este host. - El tiempo de inactividad y el tiempo absoluto que quieres, en minutos u horas.
- Si el id de antes del inicio de sesión debe fallar después de un inicio de sesión exitoso.
- Si el cierre de sesión, un cambio de contraseña o una cuenta desactivada deben rechazar la cookie anterior.
Si quieres el esquema antes de las credenciales, pide la muestra en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres revisar el flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a session cookie security review cost? +
Session cookie security review cost is $2,400 once for one app, and $1,200 starts it. I review the cookie that keeps someone signed in: the flags, whether login issues a new id, and whether logout kills that id on the server. The report is written 48 hours after access works. You own the PDF.
Does setting HttpOnly and Secure replace this review? +
No. Those flags are the floor, not the test. OWASP still wants the session id renewed after login and destroyed on logout, plus idle and absolute timeouts enforced on the server. A vendor dashboard that shows the flags does not tell you whether the old cookie still opens the account.
Are exploit steps in the PDF, and do you need production secrets? +
I need a test user that can sign in, and written permission to use that app. I do not need your production secrets. The PDF has severity, the cookie path, the role, and a fix. It does not include exploit steps, the session value, or a certificate I do not hold.
When should I skip a session cookie review? +
Skip it if the app does not keep a signed-in user in a cookie yet, or if there is no login I am authorized to use. Skip it if a contract names CREST or a letter I do not hold. A refresh token and a magic-link login are different writeups. Booking from an AI app is a different offer.
