Costo de la revisión de seguridad de Stytch: $2,400 de pago único, es tuyo
El costo de la revisión de seguridad de Stytch es $2,400 de pago único para una app B2B, $1,200 para empezar. El PDF es tuyo. Sin suscripción. La sesión, no el panel.
En este artículo· 6 secciones
El costo de la revisión de seguridad de Stytch es $2,400 de pago único para una app cuyos clientes inician sesión como miembros de una organización de Stytch. $1,200 inician el trabajo. El informe se entrega 48 horas después de que un miembro de prueba pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Stytch emite la sesión de una organización. Tu API decide si le cree a esa organización.
Respuesta corta: El costo de la revisión de seguridad de Stytch es $2,400 de pago único, con $1,200 para empezar, para una app que inicia la sesión de los clientes con Stytch. Reviso la organización en la sesión B2B y la API que esas páginas ya llaman, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. La factura de uso de Stytch y un pentest de varias semanas son productos distintos. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de Stytch?
$2,400 de pago único por una app, $1,200 para empezar y el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando uso de Stytch, una licencia de escáner ni un sello que yo no tengo.
Precios B2B de Stytch indican pago por uso con una base de $0. Las organizaciones externas son ilimitadas. Incluyen 10,000 miembros y agentes externos activos, más 1,000 tokens de máquina a máquina y 5 conexiones SSO o SCIM. Cada conexión por encima de esas cinco cuesta $125. La marca personalizada del inicio de sesión es una tarifa fija de $99. La tabla no muestra un excedente por miembro, así que no voy a inventar uno.
| Qué estás comprando | Precio 2026 | Qué obtienes en realidad |
|---|---|---|
| Stytch B2B, dentro del nivel incluido | $0 por 24 meses y por 36 | Sesiones y organizaciones. No una prueba de tu API |
| Conexión extra de SSO o SCIM | $125 por conexión, después de 5 | El enlace con el IdP. No si la API confía en la organización |
| Marca personalizada del inicio de sesión | $99 de pago único | Su logo fuera de la pantalla de inicio de sesión. Sigue siendo su producto |
| Esta revisión de Stytch | $2,400 de pago único, $1,200 para empezar | Una app, la organización en la sesión, la API que llama la interfaz, informe en 48 horas, una reprueba |
| Prueba de app web, mercado | $5,000–$30,000 | Un calendario más largo, a menudo empaquetada para una conversación de cumplimiento |
La guía de precios 2026 de Synack ubica una prueba típica de aplicación web en esa franja de $5,000 a $30,000.
Si te quedas dentro de 10,000 miembros y cinco conexiones, la base de Stytch es $0 a los 24 meses y a los 36. Ese $0 sigue sin leer tu API. Tres pasadas de esta revisión cuestan $7,200.
Los mismos $2,400 están en precios. Una conexión de WorkOS es otro proveedor y otra sesión, y se cubre en costo de la revisión de seguridad de WorkOS.
¿Qué revisan los $2,400 en una sesión B2B?
Inicio sesión como las organizaciones que ya vendes y registro a qué registros pueden llegar esas sesiones. Stytch emite la sesión del miembro. Tu API tiene que hacer coincidir la organización de esa sesión con la ruta. Tu secreto de Stytch se queda fuera del navegador y fuera de este trabajo.
El resumen de sesiones de Stytch y la guía de JWT son el criterio con el que escribo:
- Una sesión es el inicio de sesión de un miembro en una organización. La duración predeterminada es de 60 minutos. El JWT de sesión que se usa para verificaciones locales vence a los cinco minutos, así que una revocación puede tardar en surtir efecto hasta que ese JWT expire. Registro qué rutas confían en el JWT corto y cuáles llaman a Stytch antes de una lectura sensible. No entrego una receta.
- Un token de sesión intermedia dura 10 minutos y no es una sesión de miembro. Hay que canjearlo por una organización. Registro si una ruta de la API trata ese token como un inicio de sesión ya terminado.
- El intercambio de sesión puede mover a un miembro a otra organización. Si esa organización todavía exige MFA, Stytch devuelve un token intermedio, no una sesión completa. Registro si tu API sigue atendiendo a la organización A cuando la interfaz ya está en la organización B.
- Una verificación de autorización debe exigir que el id de organización que envías coincida con la organización de la sesión del miembro. Un claim personalizado no lo sustituye. Stytch reserva el espacio de nombres de claims
https://stytch.com/.
La forma del documento es el informe de pentest de muestra. Sin nombres de clientes.
¿Qué no incluyen los $2,400?
Obtienes severidad, ruta, rol y una corrección que un ingeniero puede pasar a ticket, para una app autorizada. No entrego pasos de exploit, una auditoría del panel de Stytch, la configuración de una conexión SSO, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
No configuro la conexión de Okta o Entra del cliente, y no pruebo la infraestructura propia de Stytch.
Esto no es AI Front Door, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta cuesta $3,500 de pago único por un trabajo de operaciones que se repite, como el seguimiento de cobro de una factura, y no lee ids de organización.
¿Cómo va la revisión desde el acceso hasta el PDF?
Autorizas una URL, uso los miembros de prueba que envías y el reloj empieza cuando ese inicio de sesión funciona. Stytch emite la sesión. Tu API decide si le cree a la organización. No parcheo producción dentro de este precio.
| Paso | Qué pasa |
|---|---|
| Disparador | Las organizaciones de los clientes ya están activas, o un comprador preguntó si una organización puede leer los datos de otra |
| Acción | Recorro la interfaz en vivo con cada organización de prueba y comparo esa sesión con la API que esas páginas ya llaman |
| Sistema de registro | La app, más los hallazgos por escrito: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú abres el ticket del cambio. Yo no edito producción dentro de este precio |
Incluye una reprueba gratis de esa misma URL dentro de 14 días.
Cuando esto todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador nombró un certificado que esta oferta no incluye. Consigue primero una URL y dos organizaciones. Una pasada sin inicio de sesión de miembro es un vistazo a la página de inicio.
Espera si hoy nadie puede iniciar sesión como miembro. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el inicio de sesión no es de Stytch, la misma revisión de seguridad de aplicaciones web cubre la autenticación y la API.
¿Qué tiene que ser cierto antes de que empiece?
Trae la URL, dos organizaciones y una frase sobre qué es público. Puedo empezar sin un recorrido del panel de Stytch. No puedo empezar sin un inicio de sesión de miembro que se comporte como producción; si no, una página pública se vuelve un hallazgo falso.
Antes de pagar, confirma esto:
- La URL de producción o staging que me autorizas a abrir, por escrito.
- Un miembro de prueba en la organización A y uno en la organización B, o una sola organización si de verdad no tienes inquilinos.
- Qué registros no debe ver nunca la organización A.
- Que el secreto de Stytch vive solo en el servidor, y qué cambio de organización debe detenerse en MFA.
Si quieres ver el formato antes de las credenciales, pide la muestra desde el formulario de contacto.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto te queda, agenda una llamada de 20 minutos.
Preguntas frecuentes
How much does a Stytch security review cost? +
A Stytch security review cost is $2,400 once for one app, and $1,200 starts it. I review the live UI, the B2B session Stytch issued for one organization, and the API those pages already call. The report is written 48 hours after access works. You own the PDF. There is no monthly fee. A second app is a second quote.
Does the Stytch free tier replace this review? +
No. Pay as you go is a $0 base with 10,000 members and five SSO or SCIM connections included. That bill, even at $0, pays Stytch to issue the session. It does not show whether your API still serves organization A after the member has switched to organization B.
Do you need the Stytch secret, and are exploit steps in the PDF? +
I need working test members, not your Stytch secret and not dashboard admin. Two organizations when customers must not see each other. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
When should I skip a Stytch review? +
Skip it if there is no URL I am authorized to use, or no test member who can sign in. Skip it if a contract names CREST or a letter I do not hold. If the app does not use Stytch, the same $2,400 review still fits. Booking from an AI app and an invoice chase are different offers.
