Cuánto cuesta una revisión de seguridad de app web en 2026
La mayoría de cotizaciones serias de pentest de una app chica caen entre US$2,500 y US$15,000. Qué debería incluir una revisión autorizada de 48 horas — y qué no.
La mayoría de equipos no necesita un red team de seis semanas. Necesitan a alguien que se siente en la app en vivo, pruebe lo obvio y lo un poco menos obvio, y mande a ingeniería un informe con el que se pueda trabajar.
El mercado sigue escribiendo penetration test en Google y Upwork. Esa frase ahora cubre desde un dump de escáner de US$400 hasta un circo de consultoría de US$40,000. Si estás comprando la primera mirada a una aplicación web, quieres el medio: una revisión de seguridad de aplicación web autorizada.
Respuesta corta: En 2026, una revisión seria de una app chica suele costar US$2,500–US$15,000. Yo vendo una aplicación — frontend, auth y API — por US$2,400, con US$1,200 para empezar y el resto a la entrega. El informe escrito vence 48 horas después de que el acceso funciona, con una ventana de 24–72 horas si la superficie es minúscula o inusualmente ancha. Incluye un retest gratis de la misma URL.
Tengo sesgo: esa es la oferta en la página de revisión de seguridad. Los rangos de abajo son el mercado público, no un deck de ventas.
¿Cuánto cuesta de verdad un pentest de app web en 2026?
Una revisión manual de una aplicación chica vive en los miles bajos. Una superficie SaaS autenticada de verdad sube rápido.
La guía 2026 de WardenBit para pequeños negocios pone la mayoría de proyectos entre US$2,500 y US$15,000, y US$100–US$3,000 suele significar automatización y poca validación humana. La tabla de startups de SecureLeap cotiza US$4,000–US$12,000 para una app SaaS chica y US$10,000–US$25,000 cuando aparecen APIs y más roles. Los rangos 2026 de BSG ponen independientes en US$2,000–US$8,000 y boutique en US$4,000–US$25,000. Las tarifas diarias de independientes se agrupan en US$1,200–US$2,000 (pentestingcost.com).
| Qué estás comprando | Pedido típico 2026 | Qué recibes de verdad |
|---|---|---|
| PDF de escáner | US$100–US$1,000 | Salida de herramienta, poco criterio humano |
| Revisión freelance / independiente | US$2,000–US$8,000 | Un tester, una app, un informe escrito |
| Pentest boutique de app web | US$5,000–US$15,000 | Más proceso, más calendario, a veces un segundo revisor |
| Membrete mid-market / Big-4 | US$15,000–US$50,000+ | Marca, ciclo de ventas, horas junior |
Si una cotización es menor a US$1,000 y promete “pentest completo, apps ilimitadas,” asume un escaneo. Si pide US$25,000 por una pantalla de login, pregunta para qué es la semana tres.
Qué debería estar en alcance
Las páginas que un usuario ve, la sesión que se lo permite y las APIs que esas páginas ya llaman.
Eso es trabajo suficiente para un pase de 48 horas en una aplicación:
- Login, SSO, reset, invitaciones y chequeos de rol
- Límites de tenant si el producto es multi-tenant
- Formularios, uploads, exports y descargas
- Auth faltante en un endpoint que la UI ya usa
- Acceso a objetos que ignora de quién es el registro
Auditoría de código, binarios móviles, Active Directory interno, phishing y acceso físico son otros productos. Precio así.
Cómo lo corro
- Autorización escrita. No empiezo en un sistema que el remitente no controla.
- Acceso que funciona. Credenciales o una invitación SSO. El reloj de 48 horas empieza aquí.
- Revisión y restauración. Ejercito la app en vivo bajo las reglas acordadas y devuelvo el estado de prueba.
- Informe y un retest. Hallazgos por severidad y remediaciones prácticas. La misma URL, una vez, gratis, en 14 días.
El PDF no incluye payloads de exploit ni credenciales. Hay un informe de muestra redactado antes de pagar — pídanlo en el formulario de contacto.
Cuándo esta no es la compra correcta
Espera si necesitas un sello CREST o PCI QSA, un ejercicio de ingeniería social o una carta que existe solo para calmar una plantilla de procurement. Esos compradores deberían contratar a la firma que vende esa carta.
Compra esto si tienes una app web de producción o staging, puedes dar un usuario de prueba y quieres que ingeniería tenga una lista ordenada esta semana — no un kickoff el trimestre que viene.
La oferta, el alcance y el split de pago viven en Revisión de seguridad de aplicación web. El mismo número está en la página de precios.
Preguntas frecuentes
¿Cuánto cuesta un penetration test de aplicación web en 2026? +
Las cotizaciones creíbles para un negocio chico suelen caer entre US$2,500 y US$15,000. Un independiente puede empezar cerca de US$2,000. Las firmas boutique suelen pedir US$5,000–US$15,000 cuando hay autenticación y APIs. Ofertas bajo US$1,000 suelen ser un PDF de escáner.
¿Una revisión de seguridad es lo mismo que un pentest? +
Compradores y avisos usan las palabras para la misma app web. Una revisión autorizada y acotada de la UI, el auth y la API es lo que la mayoría de equipos necesita. Un red team CREST de varias semanas es otro producto y otro precio.
¿Qué tan rápido se entrega? +
Con alcance escrito y credenciales que funcionan, una sola aplicación se puede escribir en 24–72 horas. El reloj debería empezar cuando el login funciona, no con el primer correo de ventas.
¿Qué debería incluir el precio? +
Autorización por escrito, pruebas autenticadas del frontend y de las APIs que la UI ya llama, un informe por severidad con remediaciones, el estado de prueba restaurado y al menos un retest de la misma URL. Los payloads de exploit y los nombres de clientes no van en el PDF.
