O preço de um pentest depende do escopo, da parcela de teste manual, do tempo do especialista, da inclusão do reteste e do tipo de relatório entregue. Por isso não existe preço de tabela, e um número apresentado antes do entendimento do escopo provavelmente descreve outro serviço.
A palavra pentest cobre trabalhos muito diferentes: de uma varredura automatizada de algumas horas a semanas de análise manual sobre os fluxos críticos de uma instituição financeira.
Quais variáveis movem o preço?
A primeira é o escopo: quantas aplicações, APIs, endereços de rede e aplicativos entram no teste, e qual a complexidade de cada um. Uma aplicação com área logada, vários perfis de usuário e regras de negócio próprias exige mais trabalho que um conjunto de páginas institucionais.
A segunda é a visibilidade. Sem informação prévia (black box), o teste simula melhor o atacante externo, mas gasta tempo descobrindo o que a empresa poderia informar. Com algum acesso (grey box), a relação entre custo e resultado costuma ser melhor. Com código e arquitetura abertos (white box), a análise vai mais fundo.
Teste manual, prazo e senioridade
Varreduras automatizadas ajudam a identificar indícios de falhas conhecidas. A investigação contextual, manual ou por agentes autônomos, testa regras de negócio e encadeia achados para demonstrar impacto. Por isso vale perguntar como a proposta combina cobertura, validação e revisão especializada.
Em testes amplos, o prazo também pesa. Um Red Team Assessment da Vultus é executado em quatro ou oito semanas, e a diferença entre as duas modalidades está na profundidade que só aparece com tempo. A senioridade e as certificações práticas da equipe completam a conta, e são a variável mais difícil de comparar.
Reteste, relatório e acompanhamento
Depois da correção, alguém precisa confirmar que ela funcionou. Algumas propostas incluem o reteste, outras cobram à parte e outras não o oferecem. O relatório também varia: uma lista técnica de vulnerabilidades atende o time de TI, enquanto um relatório executivo com cadeia de ataque e indicadores de impacto permite levar o resultado a quem decide orçamento.
O acompanhamento depois da entrega, com plataforma para gerir as correções e reuniões de governança, é outro item que muda o valor. No Red Team da Vultus, são três meses de acompanhamento após o relatório.
Exemplo fictício: duas propostas para o mesmo escopo
Uma fintech fictícia recebe duas propostas para testar sua aplicação principal. A primeira, cerca de um terço mais barata, prevê três dias de varredura automatizada com validação manual dos achados e reteste cobrado à parte. A segunda prevê três semanas de testes manuais com diferentes perfis de usuário, relatório executivo e reteste incluso.
A primeira tende a devolver uma lista longa de itens médios e baixos, como cabeçalhos ausentes e versões desatualizadas. A segunda tende a encontrar menos itens e, entre eles, uma falha de autorização: trocar um identificador no endereço permite consultar os dados de outro cliente. Esse tipo de falha, descrito na categoria API1:2023 da OWASP, pode ser demonstrado ao testar a regra de negócio com usuários de perfis diferentes, por especialistas ou agentes autônomos.
Como comparar propostas
Antes de comparar o valor, vale igualar o que está sendo comprado:
- Escopo: a lista de ativos é a mesma nas duas propostas?
- Visibilidade: o tipo de teste (black, grey ou white box) é o mesmo?
- Teste manual: quantas horas cada proposta prevê?
- Reteste: está incluso, e em que prazo?
- Relatório: existe um exemplo anonimizado para avaliar?
- Equipe: quem executa, com nome e certificação?
- Achados críticos: o que acontece se algo grave for encontrado durante o teste?
Propostas com respostas diferentes para essas perguntas descrevem serviços diferentes.
O mercado como um todo segue em expansão. O Gartner projeta que os gastos mundiais com segurança da informação cheguem a US$ 240 bilhões em 2026, alta de 12,5% sobre 2025, com serviços de segurança respondendo por cerca de US$ 93 bilhões desse total.
Custo por ciclo e frequência
No pentest autônomo com IA, o custo por ciclo tende a ser menor porque o reconhecimento e a enumeração levam menos tempo. A vantagem principal está na possibilidade de repetir o teste com mais frequência, tema do artigo sobre pentest contínuo e testes autônomos. Conheça também o pentesting avançado da Vultus e saiba como escolher uma empresa de pentest.
