Costo de la revisión de seguridad de WorkOS para confiar en la sesión SSO
El costo de la revisión de seguridad de WorkOS es $2,400 de pago único para una app B2B, $1,200 para empezar. El PDF es tuyo. Sin suscripción. La API debe confiar en la sesión SSO.
En este artículo· 6 secciones
El costo de la revisión de seguridad de WorkOS es $2,400 de pago único para una app cuyos clientes inician sesión a través de una conexión SSO de WorkOS. $1,200 inician el trabajo. El informe se entrega 48 horas después de que un usuario de prueba pueda iniciar sesión. El PDF es tuyo. No hay suscripción.
Respuesta corta: El costo de la revisión de seguridad de WorkOS es $2,400 de pago único, con $1,200 para empezar, para una app que inicia la sesión de los clientes con SSO de WorkOS. Reviso la organización en la sesión, el rol y la API que esas páginas ya llaman, y escribo el informe 48 horas después de que el acceso funcione. Es tuyo. La factura de una conexión de WorkOS y un pentest de varias semanas son productos distintos. La oferta es la revisión de seguridad de aplicaciones web.
¿Cuánto cuesta una revisión de seguridad de WorkOS?
$2,400 de pago único por una app, $1,200 para empezar, el resto cuando llega el PDF. Ese archivo es tuyo. No estás comprando una conexión de WorkOS, un asiento de escáner ni un sello que yo no tengo.
Precios de WorkOS indica que AuthKit es gratis para el primer 1 millón de usuarios activos mensuales y luego $2,500 al mes por cada millón adicional. Single Sign-On cuesta $125 por conexión para 1–15 conexiones, $100 para 16–30, $80 para 31–50 y $65 para 51–100. Una conexión es el enlace entre WorkOS y un grupo de proveedor de identidad, como Okta o Microsoft Entra. Directory Sync usa la misma escala y se factura por separado. Staging es gratis. Lo que cobran son las conexiones de producción.
| Qué estás comprando | Precio 2026 | Qué obtienes en realidad |
|---|---|---|
| Una conexión SSO de WorkOS | $125/mes para las primeras 15 | El enlace con el IdP. No es una prueba de tu API |
| Gestión de usuarios de AuthKit | $0 hasta 1M MAU, luego $2,500/mes por cada millón adicional | Producto de inicio de sesión. Siguen siendo sus controles |
| Esta revisión de WorkOS | $2,400 de pago único, $1,200 para empezar | Una app, la organización en la sesión, la API que llama la interfaz, informe en 48 horas, una repetición |
| Prueba de app web, mercado | $5,000–$30,000 | Calendario más largo, a menudo armada para una conversación de cumplimiento |
La guía de precios de junio de 2026 de Synack ubica una prueba típica de aplicación web en esa franja de $5,000 a $30,000.
Una conexión a $125 al mes son $3,000 en 24 meses y $4,500 en 36. Tres pasadas de esta revisión, con un año de diferencia, son $7,200. La factura de la conexión sigue aparte.
Los mismos $2,400 están en precios. Un tenant de Auth0 es otro proveedor y otra revisión del token, cubierta en costo de la revisión de seguridad de Auth0.
¿Qué abre en realidad esos $2,400?
Inicio sesión como las organizaciones que ya vendes y registro a qué registros pueden llegar esas sesiones. WorkOS emite la sesión. Tu API tiene que hacer coincidir la organización de esa sesión con la ruta. Tu clave de API se queda fuera del navegador y fuera de este trabajo.
La documentación de sesiones y la guía de SSO de WorkOS son la referencia con la que escribo:
- El access token es un JWT. Sus docs dicen que el backend debe validarlo en cada solicitud. Los claims incluyen el usuario, la sesión, la organización elegida al iniciar sesión, el rol, los permisos y una expiración. El issuer es
https://api.workos.com/a menos que configures un dominio de auth personalizado. - Un refresh puede pedir otra organización. WorkOS devuelve un token nuevo solo cuando esa sesión puede acceder a ella. Registro si la API sigue sirviendo la organización A después de que la interfaz está en la organización B. No entrego una receta.
- En el callback de SSO, WorkOS indica hacer coincidir el organization id del perfil con la organización que autenticaste. El dominio del correo no es un sustituto seguro, porque los invitados pueden estar fuera del dominio corporativo.
- El authorization code es válido por 10 minutos. Anoto si un callback tardío se rechaza. El PDF nombra la ruta. No imprime un token.
La forma del documento es el informe de pentest de muestra. Sin nombres de clientes.
¿Qué no incluye esos $2,400?
Obtienes la severidad, la ruta, el rol y una corrección que un ingeniero puede pasar a ticket, para una app autorizada. No entrego pasos de exploit, una auditoría del panel de WorkOS, una revisión del mapeo de Directory Sync, una segunda app ni un certificado que yo no tengo. El PDF es tuyo. No hay cuota mensual.
No configuro la conexión de Okta o Entra del cliente y no pruebo la infraestructura propia de WorkOS.
Esto no es Puerta de entrada con IA, donde un cliente reserva o paga desde ChatGPT, Claude, Grok u otra app de IA que admita conectores MCP. MCP es el estándar abierto que esas apps usan para conectarse a las herramientas de un negocio. Tampoco es Automatización de flujos de trabajo. Esa oferta es $3,500 de pago único por un trabajo de operaciones que se repite, como el seguimiento de una factura, y no lee organization ids.
¿Cómo corre la revisión desde el acceso hasta el PDF?
Autorizas una URL, uso los inicios de sesión de prueba que envías y el reloj empieza cuando ese acceso funciona. WorkOS emite la sesión. Tu API decide si cree en la organización. No parcheo producción dentro de este precio.
| Paso | Qué ocurre |
|---|---|
| Disparador | Una conexión SSO de un cliente está activa, o un comprador preguntó si una organización puede leer a otra |
| Acción | Recorro la interfaz en vivo como cada organización de prueba y comparo esa sesión con la API que esas páginas ya llaman |
| Sistema de registro | La app, más los hallazgos escritos: severidad, ruta, rol, corrección |
| Escalamiento humano | Tú conviertes el cambio en ticket. No edito producción dentro de este precio |
Envía la autorización por escrito, un usuario de prueba y una segunda organización cuando los tenants deban quedar separados. Una repetición gratis de esa misma URL está incluida dentro de 14 días.
Cuándo todavía no es el paso correcto
No pagues los $1,200 si no puedo abrir la app de forma legal, o si un comprador pidió un certificado que esta oferta no incluye. Consigue primero una URL y dos organizaciones. Una pasada sin inicio de sesión es un vistazo a la página de inicio.
No voy a adivinar una app de WorkOS a partir de una captura del panel. Espera si hoy nadie puede iniciar sesión por la conexión. Contrata a la firma que tiene CREST si el cuestionario exige ese nombre. Si el inicio de sesión no es WorkOS, la misma revisión de seguridad de aplicaciones web cubre la autenticación y la API. Una llamada perdida es la recepción, $8,000 de pago único, no esta revisión.
¿Qué tiene que estar listo antes de que empiece?
Trae la URL, dos organizaciones y una frase sobre qué es público. Puedo empezar sin un recorrido por el panel de WorkOS. No puedo empezar sin un inicio de sesión que se comporte como producción, o una página pública se vuelve un hallazgo falso.
Antes de pagar, confirma esto:
- La URL de producción o staging que tengo permitido abrir, por escrito.
- Un usuario de prueba en la organización A y uno en la organización B, o una sola organización si de verdad no tienes tenants.
- Qué registros la organización A nunca debe ver.
- Que la clave de API de WorkOS es solo de servidor.
- El rol que debe fallar en una escritura, si vendes más de un rol.
Si quieres el formato antes de las credenciales, pide la muestra desde el formulario de contacto.
$1,200 reservan el trabajo en la página de la revisión. Confirmo el alcance por escrito antes de empezar. El formulario es corto. Respondo con el mapa de reemplazo dentro de 24 horas. Si prefieres hablar del flujo de trabajo durante 20 minutos y ver si esto encaja, reserva una llamada de 20 minutos.
Preguntas frecuentes
How much does a WorkOS security review cost? +
A WorkOS security review cost is $2,400 once for one app, and $1,200 starts it. I review the live UI, the SSO session WorkOS issued, the organization on that session, and the API those pages already call. The report is written 48 hours after access works. You own the PDF. There is no monthly fee.
Does a WorkOS SSO connection replace this review? +
No. One SSO connection is $125 a month for the first 15 connections. AuthKit is free for the first 1 million monthly active users. That bill pays WorkOS to issue the session. It does not show whether your API accepts a session for the wrong organization, or whether a guest email can open another customer's records.
Do you need the WorkOS API key, and are exploit steps in the PDF? +
I need working test users, not your WorkOS API key and not dashboard admin. Two organizations when customers must not see each other. The PDF has severity, path, role, and a fix. It does not include exploit steps, your credentials, or a certificate I do not hold.
When should I skip a WorkOS review? +
Skip it if there is no URL I am authorized to use, or no test login. Skip it if a contract names CREST or a letter I do not hold. If the app does not use WorkOS, the same $2,400 review still fits. Booking from an AI app and an invoice chase are different offers.
