Quanto custa um pentest: valores, escopo e o que deve vir no relatório

Um pentest costuma custar de R$ 5 mil a R$ 12 mil em uma aplicação web simples, de R$ 10 mil a R$ 25 mil em uma aplicação com API e autenticação, e de R$ 20 mil a R$ 50 mil quando inclui infraestrutura e sistemas corporativos. O que define o preço é o escopo: quantas funções existem, quantos perfis de usuário testar e quanto da lógica de negócio precisa ser analisada. Esses valores são referências de mercado, e projetos grandes podem passar disso.

Faixas de referência

O que muda o preço

1. Tamanho do alvo: número de telas, endpoints de API e serviços.
2. Perfis de usuário: testar se um cliente vê dados de outro exige mais tempo.
3. Lógica de negócio: descontos, pagamentos e aprovações requerem análise humana.
4. Tipo de teste: caixa-preta, cinza ou branca (ver abaixo).
5. Experiência dos profissionais: quem encontra falhas complexas custa mais.
6. Reteste: a verificação das correções pode estar incluída ou ser cobrada à parte.
7. Exigências formais: relatórios para clientes, auditorias ou certificações.

Caixa-preta, cinza ou branca

• Caixa-preta: o testador começa sem informações, como um atacante externo.
• Caixa-cinza: recebe credenciais de usuário e informações básicas. Costuma ter o melhor custo-benefício, pois simula o usuário mal-intencionado e aproveita melhor o tempo.
• Caixa-branca: acessa código e arquitetura. É a análise mais profunda.

Para aprofundar, leia pentest: o que é e quando contratar.

Pentest não é scanner

Esta é a maior armadilha do mercado. Um scanner automático roda em horas e encontra falhas conhecidas. Ele é útil, mas não entende que um cliente não deveria aprovar o próprio desconto ou ver a nota fiscal de outra pessoa. Um pentest é um trabalho humano, que combina ferramentas com raciocínio para encadear falhas.

Se o preço estiver muito baixo e o prazo for de um dia, pergunte se é um pentest real ou uma varredura com outro nome. Peça um exemplo de relatório, com dados anonimizados.

O que exigir no relatório

Um bom relatório serve a dois públicos:

• Resumo executivo: os riscos em linguagem de negócio.
• Detalhe técnico: cada falha com severidade, passos para reproduzir, evidência, impacto e recomendação.
• Referências: classificação como CVSS e relação com o OWASP Top 10.
• Plano de correção priorizado.
• Carta de reteste ao final, quando for exigida por um cliente.

Relatórios gerados apenas pela exportação de uma ferramenta, com dezenas de páginas de avisos sem contexto, valem pouco.

Antes de contratar, combine

• Escopo por escrito: o que pode e o que não pode ser testado.
• Autorização formal: teste sem autorização é crime. Se a aplicação está em um provedor, verifique as regras dele. A AWS, por exemplo, permite testes em vários serviços, sob suas políticas.
• Janela e ambiente: prefira um ambiente de homologação igual ao de produção, ou defina horários e limites para produção.
• Contatos de emergência: a quem avisar se algo sair do ar ou se surgir uma falha crítica.
• Sigilo: NDA e tratamento das informações e evidências, com cuidado com dados pessoais.

Com que frequência fazer

Uma boa referência é fazer ao menos uma vez por ano e depois de mudanças grandes: nova versão, nova integração ou migração. Também se justifica antes de lançar um produto, antes de atender a um grande cliente que exija o relatório e depois de um incidente.

Se o sistema muda toda semana, avalie um programa contínuo, combinando varreduras automáticas com testes pontuais ou Bug Bounty.

Pentest vale para pequenas empresas?

Vale se você guarda dados de clientes, recebe pagamentos ou depende de um sistema próprio. Para quem está começando, um escopo reduzido, focado no que é mais crítico, cabe no orçamento e encontra os problemas mais graves. Em um site WordPress simples, uma boa rotina de atualização costuma ter mais impacto. Veja o guia para blindar o WordPress.

O custo de não testar

Uma invasão pode gerar paralisação, perda de clientes, resgate e custos de recuperação, além de obrigações com a LGPD. Em incidentes com risco ou dano relevante, a comunicação à ANPD tem prazo de três dias úteis, segundo a Resolução CD/ANPD nº 15/2024, com prazo em dobro para agentes de pequeno porte. O preço do pentest deve ser comparado com esses custos, e não só com o orçamento de TI.

Perguntas frequentes

Quanto tempo leva um pentest?

Aplicações simples costumam levar de uma a duas semanas, incluindo o relatório. Escopos maiores podem levar várias semanas.

O pentest pode derrubar meu sistema?

Testes profissionais são controlados, mas o risco não é zero. Por isso, combina-se a janela, o ambiente e os limites. Usar homologação reduz esse risco.

Pentest garante que meu sistema está seguro?

Não. Ele mostra o que foi encontrado naquele escopo e momento. A segurança é um processo contínuo, com correções, atualizações e novos testes.

Quer testar seu sistema?

A equipe de segurança da Webparatus faz pentest e caça a vulnerabilidades com a mentalidade de Bug Bounty, e entrega relatórios que os desenvolvedores conseguem aplicar. Se o sistema está na AWS, inclua a revisão de segurança na AWS. Fale com a gente.