Revisión de seguridad RLS de Supabase: quién puede leer la fila
La revisión de seguridad RLS de Supabase cuesta $2,400 de pago único para una app. Reviso la autenticación y las políticas de fila en las que la interfaz ya confía. El informe es tuyo. Sin suscripción.
En este artículo· 5 secciones
Una palomita verde junto a Row Level Security no es una revisión.
La guía de bases de datos de Supabase dice que una tabla en un esquema expuesto sin RLS la puede leer y escribir cualquier rol que todavía tenga un grant, y que una política no quita ese grant. La revisión de seguridad de aplicaciones web cuesta $2,400 de pago único por una app, $1,200 para empezar, y queda escrita 48 horas después de que el acceso funcione. El PDF es tuyo. No hay suscripción.
Respuesta corta: Una revisión de seguridad de RLS en Supabase cuesta $2,400 de pago único, con $1,200 para empezar, para una app en vivo. Reviso las pantallas, el inicio de sesión y las políticas de filas en las que esas pantallas ya confían, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. Un interruptor del panel y un pentest acreditado de varias semanas son productos distintos.
¿Qué revisa de verdad una revisión de seguridad de RLS en Supabase?
Inicio sesión con los roles que ya vendes y registro a qué filas de clientes llegan esas sesiones. Esta revisión incluye la autenticación, las llamadas que esa página ya hace y los grants, las políticas y las vistas que hay detrás. La clave secreta que se salta la seguridad por filas se queda fuera del navegador.
La guía de RLS de Supabase es el estándar, no un rumor:
- RLS activado en cada tabla de un esquema expuesto. Si está apagado, el grant es la única puerta.
- Los grants coinciden con la operación. Supabase dice que los proyectos existentes pueden entregar de entrada a
anonyauthenticatedselect, insert, update y delete. Una política no revoca eso. - La política coincide con el rol.
anonno ha iniciado sesión. Una regla que permite todo para ese rol es lectura pública de cada fila a la que el grant ya llega. - Las vistas y la clave secreta. Supabase documenta que las vistas se saltan el RLS por defecto. El service role se lo salta por completo y solo debe estar en el código del servidor.
Si el dato privado es un archivo, nombro el bucket y el rol que puede leerlo. No incluyo una receta de ataque.
Los mismos $2,400 están en precios. Una UI de Next.js delante de esta base de datos queda cubierta como nota de stack en costo de la revisión de seguridad de Next.js. Ese artículo no recorre las políticas de filas.
| Esta revisión | Escaneo automatizado | Pentest más amplio de app web | |
|---|---|---|---|
| Precio | $2,400 de pago único, $1,200 para empezar | Unos $100–$3,000 por trabajo en su mayoría automatizado (WardenBit). Por debajo de unas £1,200 suele ser un escaneo (Solusec) | Unos $2,500–$15,000 por una prueba de app web para un negocio pequeño (WardenBit). £1,500–£4,000 por una app web pequeña del Reino Unido (Solusec) |
| Plazo | 48 horas después de que el acceso funcione | De minutos a un día | De días a unas pocas semanas |
| Alcance | UI en vivo, autenticación, grants, políticas de filas, vistas, dónde vive la clave secreta | Lista de fallos conocidos | Prueba manual más amplia, a veces una carta de acreditación |
| Te quedas con | El PDF. De pago único. Sin suscripción | Muchas veces, un acceso a la herramienta | El informe de esa firma |
| No incluye | Pasos de exploit, red team de infraestructura, reescritura del esquema, una credencial que no tengo | Si un cliente puede abrir la fila de otro | Yo no vendo este producto |
Si compras la misma revisión otra vez en el mes 12 y en el mes 24, el costo en efectivo a tres años es $7,200, siempre un solo pago cada vez. Eso no reemplaza una carta de CREST que un contrato haya nombrado. Precursor cotiza una prueba normal de aplicación web en el Reino Unido alrededor de £3,750–£6,250. Producto distinto.
¿Qué no incluye por $2,400?
Recibes una revisión escrita de una app autorizada: severidad, ruta, rol y una corrección que un ingeniero puede dejar en un ticket. No entrego pasos de exploit, una reescritura del esquema, una segunda app ni un certificado que no tengo. El PDF es tuyo. Este precio no tiene cuota mensual.
La forma del documento es el informe de pentest de ejemplo. Sin nombres de clientes. Una segunda app en producción, un binario móvil, un red team de red y una auditoría de código de todo el repo son cotizaciones aparte. Si la clave secreta ya está en el navegador, lo dejo por escrito. Pasar las llamadas al servidor es trabajo de tu ingeniero después del hallazgo.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admite conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse con las herramientas de un negocio. Tampoco es Automatización del flujo de trabajo. Esa oferta cuesta $3,500 de pago único por un trabajo de operaciones que se repite, como el seguimiento de una factura, y no lee tus políticas de filas.
¿Cómo avanza la revisión desde el acceso hasta el PDF?
Autorizas una URL, uso los inicios de sesión de prueba que envías y el reloj del informe empieza cuando ese acceso funciona. Postgres decide qué fila puede ver un rol. El PDF es lo que te quedas. Tu ingeniero deja el cambio en un ticket. No parcheo producción dentro de este precio.
| Paso | Qué pasa |
|---|---|
| Disparador | Un cliente pidió un paquete de seguridad, o las filas reales de clientes están a punto de llegar al proyecto |
| Acción | Recorro la UI en vivo con cada rol de prueba y comparo esa sesión con los grants, las políticas y las vistas |
| Sistema de registro | Las tablas expuestas, más los hallazgos por escrito: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú dejas el cambio en un ticket. Yo no edito producción dentro de este precio |
Envía la autorización por escrito de la URL, al menos un usuario de prueba que funcione y un segundo usuario cuando dos clientes no deban verse entre sí. Anota todo lo que se supone que es público. Dame un camino al ingeniero que lleva el proyecto, para que una pregunta sobre una vista no se quede en una capa de traducción del fundador.
Cuándo esto todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador pidió un certificado que esta oferta no incluye. Consigue primero una URL y dos usuarios de prueba. Una revisión sin inicio de sesión es un vistazo a la página de inicio.
No voy a adivinar un proyecto desde una captura de pantalla. Espera si la demo es mañana y hoy nadie puede crear una cuenta de prueba. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si la base de datos no es Supabase, la misma revisión de seguridad de aplicaciones web igual cubre la autenticación y la API. Dilo, para que no ande buscando políticas de Postgres que no tienes. Una llamada perdida es el producto de recepción, no esta revisión.
¿Qué tiene que ser cierto antes de que empiece?
Trae la URL, dos roles y una frase sobre lo que debe ser público. Puedo empezar sin un recorrido por el editor de SQL. No puedo empezar sin un inicio de sesión que se comporte como producción, o un catálogo público se convierte en un hallazgo falso.
Antes de pagar, lista las tablas que lee un cliente con sesión iniciada, lista lo que los visitantes sin sesión todavía deben ver y confirma que la clave secreta está solo en el servidor. Confirma que las vistas sobre tablas privadas no son el atajo por defecto del que advierte Supabase. Si existen dos clientes, escribe qué registros cada uno no debe ver jamás. Esa frase es la prueba.
Si quieres el formato antes de las credenciales, pide el ejemplo en el formulario de contacto.
$1,200 reserva el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. Si prefieres recorrer el flujo de trabajo durante 20 minutos y ver si esto encaja, agenda una llamada de 20 minutos.
Preguntas frecuentes
What does a Supabase RLS security review cost? +
A Supabase RLS security review is $2,400 once for one app, and $1,200 starts it. I review the live frontend, authentication, and the row policies that UI already trusts. The report is written 48 hours after access works. You own the PDF. There is no monthly fee. A second app is a second quote.
Does turning on RLS mean the table is safe? +
No. Supabase documents that a policy does not revoke grants, and that a table in an exposed schema without RLS is open to any role that still has a grant. A policy that allows every signed-out visitor is still RLS, and it still hands them every row. I check the grant and the policy together.
Do you rewrite the policies or include exploit steps? +
No. You get severity, the path, the role, and a fix an engineer can ticket. I do not paste a reproduction recipe, and I do not ship a schema redesign inside this price. If you want the document shape before you send credentials, ask for the sample. Source-code rewrite is a separate quote.
When should I skip this and buy something else? +
Skip it if you need a CREST or insurer letter I do not hold, if there is no URL I am authorized to use, or if you have no test login. If the app is not on Supabase, the same $2,400 review still fits, but say so. Invoice chase and booking from an AI app are different offers.
