Quanto custa um pentest? O que realmente define o preço
O preço de um teste de invasão varia com o escopo e a profundidade. Veja como avaliar uma proposta sem cair no barato que sai caro.
Quanto custa um pentest é uma das primeiras perguntas de quem precisa contratar um teste de invasão, e a resposta honesta é: depende. O preço não tem tabela fixa porque o trabalho varia enormemente conforme o que será testado, com que profundidade e em quanto tempo. Um teste de uma única aplicação web pequena e um teste de um ambiente AWS inteiro com dezenas de serviços são esforços muito diferentes.
Este guia explica os fatores que realmente definem o custo de um pentest e o que deve estar incluído em uma proposta séria. O objetivo é ajudar você a comparar cotações por valor, e não apenas por número, evitando tanto o orçamento inflado quanto o barato que entrega um relatório raso e deixa o risco real aberto.
Os fatores que definem o preço
O custo de um pentest é, antes de tudo, uma função do escopo e da profundidade. Quanto maior a superfície a testar e quanto mais a fundo a análise precisa ir, mais horas de trabalho especializado o teste consome, e é o tempo de especialista que pesa no preço. Por isso, propostas só são comparáveis quando descrevem o mesmo escopo.
- Tamanho do escopo: número de aplicações, endpoints, contas e ativos
- Tipo de alvo: aplicação web, API, rede interna, ambiente cloud, mobile
- Profundidade: validação manual e encadeamento de falhas, além de scanner
- Nível de acesso fornecido (black, gray ou white box)
- Complexidade do negócio e dos fluxos a testar
- Prazo e janela de execução acordados
- Reteste das correções incluído ou não
Por que o tempo de especialista é o que pesa
Um pentest sério depende de tempo de teste manual, e é aí que mora a maior diferença de preço entre propostas. Valores muito abaixo do mercado costumam significar apenas a execução de um scanner automatizado com um relatório exportado. Isso tem valor limitado, porque não confirma o que é realmente explorável nem encontra falhas de lógica de negócio, que são justamente as que uma ferramenta não vê.
Senioridade da equipe e o que ela muda no resultado
Boa parte do valor de um pentest está na pessoa que executa o teste. Encontrar uma falha de lógica de negócio, encadear vulnerabilidades de baixo impacto até um cenário crítico e separar um alarme falso de um risco real exige experiência que uma ferramenta não entrega. Por isso a senioridade da equipe influencia tanto a profundidade do trabalho quanto o preço: tempo de especialista experiente custa mais e costuma valer mais.
Isso não significa que todo teste precise do profissional mais caro disponível. O ponto é entender quem vai executar, com qual metodologia e com qual experiência no tipo de alvo. Uma proposta que não deixa claro quem faz o trabalho, tratando o pentest como uma commodity intercambiável, esconde justamente a variável que mais afeta o resultado.
- Pergunte quem executa o teste e qual a experiência no tipo de alvo
- Valorize a capacidade de encontrar falhas de lógica, não só padrões conhecidos
- Entenda a metodologia que orienta o trabalho, como OWASP e PTES
- Desconfie de proposta que trata pentest como serviço padronizado e sem rosto
Tipos de pentest e como o escopo muda o custo
O tipo de alvo muda bastante o esforço. Um teste de aplicação web foca autenticação, autorização, injeções e lógica de negócio. Um teste de API avalia a superfície REST ou GraphQL e a validação de entrada. Um teste de rede interna mapeia serviços expostos e caminhos de movimentação lateral. Um teste de ambiente AWS analisa IAM, exposição pública e escalonamento de privilégio. Cada um pede competências e tempo diferentes.
- Pentest de aplicação web: autenticação, autorização, injeções e lógica
- Pentest de API: superfície REST ou GraphQL e validação de entrada
- Pentest de rede: serviços expostos, segmentação e movimentação lateral
- Pentest de ambiente AWS: IAM, exposição pública e escalonamento
- Quanto mais alvos no mesmo projeto, maior o esforço total
Black box, gray box e white box
O nível de acesso concedido ao testador influencia o custo e a cobertura. No black box, o testador parte sem informação privilegiada, simulando um atacante externo, o que consome mais tempo de reconhecimento. No gray box, recebe credenciais e algum contexto, equilibrando realismo e profundidade. No white box, tem acesso amplo a documentação e código, maximizando a cobertura por hora investida. Não existe um melhor universal: o ideal depende do objetivo do teste.
Pentest, varredura de vulnerabilidades e bug bounty
Confundir pentest com uma varredura automatizada de vulnerabilidades distorce a expectativa de preço. Um scanner roda em minutos e aponta padrões conhecidos; um pentest usa tempo de especialista para confirmar o que é explorável e encontrar o que a ferramenta não vê. São trabalhos diferentes, com custos diferentes, e uma proposta barata de pentest às vezes é, na prática, apenas um scan com outro nome.
Programas de bug bounty seguem outra lógica ainda, recompensando pesquisadores externos por vulnerabilidade encontrada. Eles complementam, mas não substituem um pentest com escopo e prazo definidos, sobretudo quando você precisa cobrir por inteiro um alvo específico e ter um relatório estruturado para tomar decisão. Entender essas diferenças evita comparar preços de serviços que resolvem problemas distintos.
Como comparar propostas sem se enganar pelo número
Quando duas propostas chegam com escopos diferentes, comparar apenas o valor final leva à decisão errada. O caminho é normalizar a comparação: colocar lado a lado o que cada uma cobre, com que profundidade e o que entrega ao fim. Só assim dá para enxergar se a diferença de preço reflete mais trabalho ou apenas margem.
Perguntas que revelam a profundidade real
- O teste inclui validação manual ou é apenas execução de ferramenta?
- O escopo cobre lógica de negócio e autenticação, ou só a superfície?
- O reteste das correções está incluído ou é cobrado à parte?
- O entregável traz priorização por risco e passos de reprodução?
- Quem executa e qual metodologia orienta o trabalho?
Custo baixo demais quase sempre tem uma explicação no escopo: menos horas, ausência de teste manual, sem reteste ou um relatório genérico exportado de um scanner. Isso não é necessariamente má fé, mas precisa estar claro. O barato vira caro quando o risco que motivou a contratação continua aberto depois do relatório.
O que deve estar incluído no preço
Uma proposta de pentest com bom custo-benefício vai muito além da execução. O entregável precisa permitir que a sua equipe corrija o que importa, e não apenas listar achados. Verifique se o preço inclui evidência, priorização e reteste, porque um relatório sem isso transfere todo o trabalho de interpretação para você.
- Relatório técnico com evidências e passos de reprodução
- Classificação de severidade e priorização por risco
- Sumário executivo para decisores, em linguagem acessível
- Recomendações de correção objetivas por achado
- Reteste das vulnerabilidades reportadas após a correção
- Escopo e autorização formalizados antes do início
Checklist prático
- Definir com clareza o que será testado antes de pedir cotações
- Comparar propostas com o mesmo escopo, não apenas o preço final
- Confirmar se há teste manual além de ferramentas automatizadas
- Entender quem executa o teste e com qual senioridade
- Verificar o nível de acesso previsto (black, gray ou white box)
- Diferenciar pentest de simples varredura automatizada
- Exigir relatório com evidência, severidade e priorização
- Confirmar se o reteste está incluído
- Checar se escopo e autorização são formalizados por escrito
- Alinhar a frequência dos testes ao ritmo de mudança do ambiente
- Desconfiar de preço muito abaixo do mercado
Boas práticas
- Trate o escopo como o principal fator de preço e de comparação
- Valorize teste manual e contexto de negócio, não só scanner
- Pergunte quem executa o teste e qual a metodologia
- Compare propostas normalizando o escopo antes de olhar o valor
- Inclua o reteste no acordo desde o início
- Prefira priorização por risco a volume de achados
- Formalize escopo, limites e autorização antes de começar
- Veja o pentest como investimento recorrente, não evento único
Erros comuns
Comparar propostas com escopos diferentes
Decisão baseada em número, escondendo profundidades muito distintas.
Contratar o mais barato sem teste manual
Relatório de scanner que não confirma o que é explorável.
Confundir varredura automatizada com pentest
Expectativa de profundidade que o serviço contratado não entrega.
Escolher sem saber quem executa o teste
A variável que mais afeta o resultado fica fora da decisão.
Proposta sem reteste
Sem validação de que as correções realmente trataram as falhas.
Escopo aberto e sem autorização formal
Risco operacional e jurídico, com limites pouco claros.
Tratar pentest como evento único
O ambiente muda e novas falhas surgem entre um teste e outro.
Quando procurar apoio especializado
O serviço de Pentest da GUARDIASEC define escopo, executa teste manual com metodologia OWASP e PTES e entrega evidência, priorização por risco e reteste, com proposta transparente sobre o que está incluído.
Perguntas frequentes
Quanto custa um pentest?
Não há um preço fixo, porque o custo depende do escopo, do tipo de alvo, da profundidade e do prazo. Um teste de uma única aplicação pequena custa muito menos que o teste de um ambiente cloud inteiro. Por isso, o caminho certo é definir o objetivo, pedir propostas com escopo equivalente e comparar o que está incluído, em especial a presença de teste manual e de reteste, e não apenas o número final.
Pentest é cobrado por hora ou por projeto?
Os dois modelos existem. Muitos trabalhos são fechados por projeto com escopo definido, o que dá previsibilidade ao cliente. Em escopos abertos ou de pesquisa contínua, a cobrança por período faz mais sentido. O importante não é o formato em si, mas a clareza do escopo e dos entregáveis associados ao preço.
Pentest barato vale a pena?
Depende do que está por trás do preço. Um valor muito abaixo do mercado costuma indicar apenas a execução de um scanner automatizado, sem teste manual, sem priorização e sem reteste. Isso entrega uma lista de achados, mas não confirma o que é explorável nem reduz risco de forma efetiva. O barato sai caro quando o risco real permanece aberto.
O que faz um pentest custar mais ou menos?
Os principais fatores são o tamanho do escopo, a profundidade da análise, o tipo de alvo, a senioridade de quem executa e se o reteste está incluído. Um teste que cobre muitos ativos, faz validação manual profunda e inclui reteste consome mais tempo de especialista, e é esse tempo que pesa no preço. Comparar propostas só faz sentido quando esses fatores estão equivalentes entre elas.
Com que frequência devo fazer pentest?
Pentest não é um evento único. O ambiente muda com novas versões, integrações e configurações, e cada mudança relevante pode abrir uma falha. Uma prática comum é testar de forma periódica e também após mudanças significativas, como um novo produto, uma migração de infraestrutura ou uma alteração importante de arquitetura. A cadência ideal depende do ritmo de mudança e da criticidade dos sistemas.
Pentest e varredura de vulnerabilidades são a mesma coisa?
Não. Uma varredura automatizada roda uma ferramenta que aponta padrões e vulnerabilidades conhecidas em minutos. Um pentest usa tempo de especialista para confirmar o que é realmente explorável, encadear falhas e encontrar problemas de lógica de negócio que nenhuma ferramenta detecta. A varredura tem valor como higiene contínua, mas entrega menos profundidade, e por isso custa menos. Contratar uma esperando o resultado da outra gera frustração.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.