Quanto custa um pentest? Fatores de preço

Não existe um preço único para pentest. O custo depende do escopo, do número de ativos, da profundidade do teste, do prazo e da experiência do fornecedor. Uma proposta barata sem escopo claro costuma sair mais cara no fim — seja por retrabalho, seja por deixar passar o risco que importava.

Por que não existe um preço único?

Um pentest não é um produto de prateleira. É um projeto técnico que envolve horas de especialistas, análise manual, ferramentas, documentação e validação. Dois ambientes com a mesma quantidade de servidores podem exigir esforços muito diferentes se um deles tem autenticação multifator, segmentação de rede e monitoramento, e o outro não.

Por isso, desconfie de valores apresentados antes de qualquer conversa sobre escopo. Um fornecedor sério precisa entender o ambiente, os objetivos e as restrições antes de estimar o esforço.

Os fatores que mais influenciam o preço

1. Escopo e número de ativos

Quantas aplicações, APIs, domínios, faixas de IP e ambientes cloud serão testados? Um único portal é diferente de um ecossistema com dezenas de serviços. O escopo também define o que está fora: se o teste é externo, interno, web, mobile ou uma combinação.

2. Tipo de teste

Pentest web, API, mobile, infraestrutura, cloud e red team têm esforços diferentes. Um red team, por exemplo, envolve planejamento, operação prolongada, análise de detecção e debrief — não é apenas “um pentest maior”.

3. Profundidade e complexidade

Um teste superficial de configuração é diferente de uma análise que busca falhas de lógica de negócio, encadeamento de vulnerabilidades e impacto real. Quanto mais profundo, mais horas de especialista e mais tempo de análise.

4. Prazo e janelas de execução

Projetos com prazo curto ou janelas restritas (fora do horário comercial, em períodos de baixa) podem exigir mais planejamento e disponibilidade da equipe. Isso influencia o custo.

5. Reteste e suporte à correção

O pentest só gera valor quando as correções são aplicadas e verificadas. Reteste, reuniões de apresentação e suporte à priorização são entregas que precisam estar na proposta.

6. Experiência e metodologia do fornecedor

Metodologia, certificações, experiência no seu setor e capacidade de explicar o risco para o negócio fazem diferença. Um relatório técnico sem priorização e sem linguagem executiva dificilmente ajuda a empresa a decidir.

O que deve estar na proposta

Item	Por que importa
Escopo detalhado	Define o que será testado e evita expectativas desalinhadas.
Metodologia	Mostra como o trabalho será conduzido e quais referenciais serão usados.
Regras de engajamento	Estabelece limites, janelas e canais de comunicação.
Entregáveis	Relatório técnico, visão executiva, evidências e plano de correção.
Reteste	Verifica se as correções funcionaram.
Prazo e marcos	Permite planejar a operação e a resposta interna.

Sinais de alerta em propostas baratas

• Valor fechado sem levantamento de escopo.
• Relatório padronizado, sem evidências reproduzíveis.
• Ausência de regras de engajamento e de contrato claro.
• Promessa de “encontrar todas as vulnerabilidades” — isso não existe.
• Reteste não incluso ou cobrado à parte sem transparência.
• Equipe sem experiência no tipo de ambiente que será testado.

Como comparar propostas

Coloque as propostas lado a lado e compare o escopo, não apenas o valor. Pergunte: quantos ativos serão testados? Qual a profundidade? O relatório inclui evidências? Há reteste? Quem executa? Qual o prazo? O que está fora do escopo? As respostas mostram se você está comparando serviços equivalentes.

Se a diferença de preço for muito grande, entenda o motivo. Pode ser escopo menor, equipe menos experiente, ausência de reteste ou simplesmente uma proposta incompleta.

Vale a pena economizar?

Economizar faz sentido quando o escopo é menor e o objetivo é validar um ativo específico. Não faz sentido quando a empresa precisa de uma leitura confiável de risco para atender um cliente, uma auditoria ou uma decisão de investimento. Nesses casos, um teste mal feito cria uma falsa sensação de segurança.

Uma alternativa para começar com investimento menor é o Fast Assessment, que faz uma leitura inicial da exposição externa. Se o objetivo for validar tecnicamente um ambiente específico, o caminho é o pentest. Se a empresa precisa testar detecção e resposta, o red team é mais adequado.

Perguntas frequentes

Leia também: Ethical hacking é crime? e Pentest vs Red Team.

Quer uma proposta com escopo claro e transparente? Fale com a Nextlayer ou entenda a diferença entre pentest e red team.