Costo de la revisión de seguridad de tRPC: $2,400, no el botón oculto
El costo de la revisión de seguridad de tRPC es $2,400 una vez por una app, $1,200 para empezar. El PDF es tuyo. Sin suscripción. Los procedimientos que la UI ya llama.
En este artículo· 6 secciones
El costo de una revisión de seguridad de tRPC es $2,400 de pago único para una aplicación. $1,200 inician el trabajo. Los otros $1,200 se pagan cuando se entrega el informe, 48 horas después de que yo pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Ese precio es para un fundador o un líder de ingeniería cuyo navegador habla con el servidor a través de tRPC. Un procedimiento es una función que el cliente puede llamar. Ocultar el botón no lo cierra. Cubro la interfaz en vivo, el inicio de sesión y los procedimientos que esas pantallas ya llaman.
Respuesta corta: El costo de la revisión de seguridad de tRPC es $2,400 de pago único, con $1,200 para empezar, para una app. Reviso la interfaz en vivo, la autenticación y los procedimientos que esa interfaz ya llama, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. Un PDF de escáner y un encargo de varias semanas con membrete son productos distintos. La oferta está en la página de revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de tRPC?
$2,400 de pago único para una app que usa tRPC, $1,200 para empezar, el resto al entregar. No estás comprando un escaneo mensual, una auditoría de código fuente ni un sello que yo no tengo.
La guía 2026 de WardenBit para pequeños negocios ubica la mayoría de los proyectos de aplicaciones web entre $2,500 y $15,000, y la franja de $100–$3,000 como escaneo mayormente automatizado. Su plan de un solo objetivo es $2,500 por encargo, con un retest cuando el acceso está listo. La tabla 2026 de Budget Security lista una aplicación web en $4,000 a $20,000. Su tarifa por día es $985, así que cinco días son $4,925, informe y un retest incluidos.
| Qué estás comprando | Precio 2026 | Qué recibes de verdad |
|---|---|---|
| Escaneo mayormente automatizado | $100–$3,000 | Salida de la herramienta, poco criterio humano |
| Esta revisión de tRPC | $2,400 de pago único, $1,200 para empezar | Una app, interfaz en vivo, autenticación, los procedimientos que la interfaz ya llama, informe en 48 horas, un retest |
| WardenBit, un objetivo | $2,500 por encargo | Su plan publicado de un solo objetivo y un retest |
| Budget Security, cinco días de tester | $4,925 | Su tarifa publicada de $985 por día por cinco, informe y un retest |
Si compraras un encargo de $4,925 una vez al año, dos años son $9,850 y tres años son $14,775. Esta revisión es $2,400 de pago único. Una segunda app, o procedimientos que publiques después de la ventana del retest, es una cotización nueva. No te estoy rentando un asiento.
La misma cifra de $2,400 está en precios.
¿Qué abre en realidad ese $2,400?
Inicio sesión con el rol que me das y recorro una app en vivo: las páginas, los formularios y las queries y mutations de tRPC que esas pantallas ya llaman. No parto de una lista de procedimientos que yo inventé.
Lista que ejecuto en una URL:
- Una página que todavía se muestra para el rol equivocado, o para nadie con sesión iniciada
- Una query que la pantalla ya ejecuta, llamada otra vez como un usuario que no debería ver ese registro
- Una mutation que el botón ya dispara, con la misma pregunta
- Un procedimiento que solo comprueba que alguien inició sesión y luego devuelve la fila de otra cuenta
- Un id que la interfaz ya envía y que pertenece a otra persona
No pego una receta en el PDF. Nombre del procedimiento, rol, severidad, corrección. La forma de ese documento es el informe de pentest de ejemplo. Si el producto es una API HTTP simple, sin tRPC, lee primero revisión de seguridad de API. Esta página es el caso de los procedimientos.
¿Dónde debe vivir la verificación de un procedimiento de tRPC?
La verificación va en el procedimiento, no solo en la página que oculta el botón. Tener sesión iniciada no es lo mismo que tener permiso para tocar ese registro. Un header parseado no es esa decisión.
La guía de autorización muestra un procedimiento público abierto a cualquiera y uno protegido que lanza un error cuando falta ctx.user. El contexto se construye por solicitud, muchas veces a partir de un header. Un header que parsea no decide qué fila puede leer esa persona.
La guía de procedimientos separa entonces “sesión iniciada” de “miembro de esta organización”. El segundo fallo que muestran es prohibido, no una sesión ausente. Revisar la forma del input no responde ninguna de las dos preguntas. Yo califico el procedimiento en vivo.
No voy a escribir un bypass en el informe. Si un procedimiento público devuelve datos privados, el hallazgo es la verificación que falta y la corrección.
¿Qué queda fuera del precio?
Una auditoría de código fuente, un pase de permisos de Hasura, una revisión de enlaces de S3, binarios móviles, una cuenta en la nube, phishing, un segundo hostname y cualquier carta de procurement quedan fuera. Estás comprando una URL, de pago único, sin cuota mensual.
No incluido:
- Leer el repositorio o un monorepo como el producto
- Permisos de administrador dentro de un proveedor de identidad
- Reglas de base de datos, reglas de almacenamiento o una política de bucket
- Infraestructura, contenedores o una revisión de firewall
- Un informe CREST, PCI o SOC que no estoy certificado para firmar
- Pasos de un exploit que otra persona podría copiar
- Procedimientos que agregues después del retest gratis
Esto no es Automatización de flujos de trabajo y no es Puerta de entrada con IA. No estoy copiando un diario de nómina a QuickBooks, y no estoy dejando que un cliente reserve desde Claude o ChatGPT. Esas son otras ofertas.
¿Cómo corre el pase?
El permiso por escrito más un inicio de sesión que funcione es el disparador. La acción es el recorrido de esa única app. El PDF es el sistema de registro. Tú corriges y después yo hago el retest de la misma URL una vez.
- Nombras una URL de producción o de staging, dices qué queda fuera de alcance y la autorizas por escrito.
- Envías un usuario que pueda iniciar sesión. Un segundo rol hace las verificaciones más precisas. Igual puedo correr un solo rol y dejar ese límite por escrito.
- Pongo a prueba las páginas y los procedimientos que ya llaman, y luego regreso el estado de prueba.
- Recibes severidad, procedimiento, rol y una corrección que un ingeniero puede dejar en un ticket. El reloj de ese PDF es la revisión de seguridad en 48 horas: empieza cuando el inicio de sesión funciona.
- Tú corriges. Yo hago el retest de esa misma URL una vez, gratis, dentro de 14 días.
Si quieres el documento antes de las credenciales, pide el ejemplo desde el formulario de contacto.
Cuándo esto todavía no es el paso correcto
Espera si no hay inicio de sesión, no puedes autorizar la URL o necesitas un sello en lugar de una lista de tickets. Un sitio de marketing es demasiado pronto. También lo es comprar esto cuando la fuga es un trabajo operativo semanal o una ruta de reservas dentro de una app de IA.
Espera si alguna de estas es cierta.
- El sitio no tiene cuentas y los procedimientos solo devuelven contenido público.
- El inicio de sesión sigue siendo un mock.
- No puedes nombrar a una persona dueña de la URL.
- Un contrato con un cliente exige una certificación que yo no tengo.
- Querías el seguimiento de facturas, o una ruta de reservas dentro de Claude, ChatGPT o Grok. Otra página, otro precio.
- El navegador llama a Hasura, a reglas de base de datos o a un enlace firmado de archivo, y tRPC no está en esa URL.
Cómpralo cuando el navegador de una app llama a tRPC, los usuarios reales tienen cuentas, puedes dar un usuario de prueba y alguien del equipo va a leer una lista priorizada esta semana.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, agenda una llamada de 20 minutos.
Preguntas frecuentes
How much does a tRPC security review cost? +
One tRPC application is $2,400 once. $1,200 starts the work and $1,200 is due when the report is delivered. You own the PDF. There is no monthly fee. A second app, a mobile client, or a source-code audit is a separate quote. Public small-app quotes still cluster from about $2,500 to $15,000.
Is hiding the button enough to protect a tRPC procedure? +
No. A tRPC procedure is a function the client can call. The official docs treat a public procedure as open to anyone, and they show middleware that throws when there is no user. I test the procedure the screen already calls, as the wrong user. A hidden button is not the control.
How fast is the written report? +
The report is due 48 hours after access works. The clock starts when I can sign in on the URL you named, not when the invoice goes out. One free retest of that same URL is included within 14 days. The PDF has severity, procedure, role, and a fix. It does not include exploit steps or your credentials.
Do I need to send the GitHub repo? +
No. I review the running app: pages, auth, and the procedures the UI already calls. Reading the repository is a different job and a different price. Tell me whether calls sit on a public procedure or an auth middleware, and give me a working test user. That is the access I actually need.
