Um pentest no Brasil é orçado por escopo: número de IPs ou endpoints, tipo de alvo (web, API, mobile, rede ou cloud), profundidade (caixa-preta, cinza ou branca) e complexidade. Não há tabela fixa; o esforço é estimado em horas ou banco de horas e transformado em preço pela senioridade da equipe.
Toda vez que alguém pede "um preço de pentest" sem descrever o que será testado, a resposta honesta é uma pergunta de volta: testar o quê, com que profundidade e para qual objetivo? Um teste de invasão em uma única API interna e um exercício ofensivo contra toda a superfície de uma instituição financeira são o mesmo serviço no nome — e coisas completamente diferentes no esforço. Este texto explica quais fatores movem o preço, para que você consiga orçar com critério e comparar propostas pelo que realmente importa.
O que é um pentest e por que o preço varia tanto?
Um pentest, ou teste de invasão, é uma avaliação de segurança em que especialistas simulam ataques reais contra sistemas autorizados para encontrar e demonstrar vulnerabilidades antes que um adversário o faça. Se você ainda está entendendo o serviço em si, comece por o que é pentest; aqui o foco é o preço. O preço varia porque o trabalho é medido em tempo de profissionais qualificados, e esse tempo depende diretamente de quanto há para testar e com que rigor.
Diferente de um scanner automatizado, que roda em minutos e cobre apenas o superficial, o pentest combina ferramentas com análise manual: encadeamento de falhas, abuso de lógica de negócio, bypass de controles e prova de impacto. É esse componente humano — pesquisa, criatividade e validação — que representa a maior parte do custo e também o maior valor. Duas propostas com preços muito diferentes geralmente refletem escopos, profundidades ou níveis de senioridade distintos, não margens diferentes. Por isso um fornecedor que fecha um número antes de conhecer o ambiente está chutando — e o chute costuma ser corrigido depois, no preço ou na profundidade entregue.
Quais fatores definem o custo de um teste de invasão?
O orçamento se constrói a partir de variáveis concretas. As principais:
- Tamanho do escopo — o número de alvos: aplicações web, endpoints de API, faixas de IP, hosts de rede, dispositivos móveis ou ambientes cloud. Mais alvos, mais horas.
- Profundidade da abordagem — quanta informação a equipe recebe antes de começar (caixa-preta, cinza ou branca) muda o tempo de reconhecimento e a cobertura possível.
- Complexidade dos alvos — uma aplicação com dezenas de perfis de acesso, integrações e regras de negócio exige muito mais análise do que um site institucional estático.
- Superfície de ataque — quantidade de funcionalidades, campos de entrada, fluxos de autenticação e integrações com terceiros.
- Metodologia e padrões exigidos — testes alinhados a OWASP, PTES ou NIST SP 800-115 têm cobertura mínima definida, o que dá previsibilidade ao esforço.
- Requisitos de compliance — quando o teste precisa atender exigências específicas (como as das resoluções do BACEN/CMN sobre segurança cibernética, incluindo a 4.893, ou PCI DSS), há critérios adicionais de escopo e evidência.
- Senioridade da equipe — profissionais mais experientes custam mais por hora e entregam achados que scanners e juniores não alcançam.
- Janela e ambiente de execução — testar em produção, em horários restritos ou com regras de engajamento apertadas adiciona coordenação e tempo.
- Retestes e acompanhamento — validar as correções após a remediação costuma ser um item à parte, mas essencial.
Nenhum desses fatores é um valor em reais isolado: são multiplicadores de esforço. O caminho para um preço justo é descrever bem o alvo e deixar o fornecedor dimensionar as horas.
Os tipos de pentest custam o mesmo?
Não. Cada tipo de teste tem uma superfície e um conjunto de técnicas próprios, o que muda diretamente o esforço. Os principais tipos que a Berghem executa:
- Pentest de aplicação web — foco em falhas de autenticação, autorização, injeção e lógica de negócio.
- Pentest de API — testa endpoints REST, GraphQL e SOAP, controles de token e abuso de regras.
- Pentest de rede — avaliação de infraestrutura interna e externa, serviços expostos e movimentação lateral.
- Pentest cloud — revisão de configuração, identidade e privilégios em ambientes AWS, Azure ou GCP.
- Pentest mobile — análise de aplicativos Android e iOS, armazenamento inseguro e comunicação com o backend.
- Red Team — simulação de adversário com objetivos definidos, sem escopo pré-anunciado às equipes de defesa, medindo detecção e resposta.
Quanto mais o exercício se aproxima de um ataque real e amplo, maior o investimento. As seções a seguir detalham o perfil de custo dos formatos mais procurados.
Quanto custa um pentest web?
O custo de um pentest de aplicação web depende do tamanho e da complexidade da aplicação, não de uma tabela por página. O que pesa é o número de funcionalidades, a quantidade de perfis e papéis de acesso, os fluxos de autenticação e autorização, as integrações com serviços externos e o volume de campos de entrada que precisam ser testados contra injeção e abuso de lógica.
Uma aplicação institucional simples, com poucas telas e sem área autenticada, ocupa uma fração das horas de um portal transacional com múltiplos perfis, carrinho, pagamentos e APIs internas. Regras de negócio complexas — descontos, limites, aprovações em cadeia — multiplicam os cenários de teste, porque cada regra é uma oportunidade de abuso. Por isso o orçamento correto nasce de um inventário das funcionalidades e dos papéis, não de um preço por domínio.
Quanto custa um pentest de API?
Uma API é orçada pelo número de endpoints e pela profundidade de teste que cada um exige. Contam o total de rotas expostas, os métodos e parâmetros de cada uma, o modelo de autenticação e autorização (tokens, escopos, chaves), o padrão da interface (REST, GraphQL ou SOAP) e a presença de regras de negócio sensíveis, como transferências, limites ou consultas a dados pessoais.
APIs concentram vulnerabilidades de autorização — o acesso de um usuário a objetos de outro, a elevação de privilégio entre escopos e a exposição excessiva de dados. Testar isso com rigor exige mapear cada endpoint e cada combinação de papel, o que aumenta as horas conforme a superfície cresce. Uma API única, com poucos endpoints e um só nível de acesso, é bem mais barata que um ecossistema de microsserviços com dezenas de rotas e múltiplos escopos. Uma boa documentação (Postman, OpenAPI/Swagger) acelera o mapeamento e ajuda a conter o custo.
Pentest mobile e Red Team: como o custo se comporta?
O pentest mobile soma o esforço de duas frentes: a análise do aplicativo em si (Android e iOS, armazenamento local inseguro, engenharia reversa, controles de root/jailbreak e certificate pinning) e o teste das APIs de backend com as quais ele conversa. Testar as duas plataformas custa mais do que testar apenas uma, e apps que embutem lógica sensível no cliente exigem tempo adicional de análise estática e dinâmica.
O Red Team está em outro patamar de investimento. Em vez de um alvo delimitado, é uma campanha com objetivo definido — alcançar um sistema crítico, por exemplo — sem aviso às equipes de defesa, combinando engenharia social, exploração técnica, persistência e evasão ao longo de semanas. O custo acompanha a duração e a amplitude da superfície simulada. É o formato mais próximo de um ataque real e, por isso, o mais caro; faz sentido para organizações com um programa de pentest já maduro.
Qual a diferença entre caixa-preta, cinza e branca no preço?
A profundidade de acesso concedida à equipe é um dos fatores que mais mexem no custo e na qualidade do resultado. Quanto mais informação a equipe recebe, menos tempo gasta em reconhecimento e mais cobre em profundidade — o que muda a relação entre custo e valor entregue.
| Abordagem | Informação fornecida | Reconhecimento necessário | Cobertura alcançável | Custo relativo |
|---|---|---|---|---|
| Caixa-preta | Nenhuma ou mínima | Alto | Focada em superfície externa | Menor por alvo, mas menos profunda |
| Caixa-cinza | Credenciais e contexto parcial | Médio | Boa relação entre esforço e profundidade | Intermediário |
| Caixa-branca | Acesso amplo, código e arquitetura | Baixo | Máxima, inclusive falhas internas | Maior por alvo, maior retorno técnico |
Na prática, a caixa-cinza costuma oferecer o melhor equilíbrio: com credenciais de teste, a equipe evita gastar horas descobrindo o que já se sabe internamente e concentra o esforço em encontrar falhas reais de autorização e lógica.
Vale contratar o pentest mais barato?
Raramente. Um preço muito abaixo do mercado normalmente indica um scanner automatizado com um relatório por cima, escopo reduzido sem que você perceba, ou profissionais sem a senioridade necessária para encontrar falhas encadeadas. O risco é caro: você paga por um selo de conformidade e segue exposto às vulnerabilidades que importam.
O que separa um pentest de verdade de um relatório de scanner é o teste manual — entender o negócio, abusar da lógica da aplicação e provar impacto com uma prova de conceito reproduzível. Ao comparar propostas, olhe menos para o número final e mais para o escopo detalhado, a metodologia declarada, o perfil da equipe, a presença de reteste e o modelo de relatório. Duas propostas só são comparáveis quando cobrem o mesmo escopo com a mesma profundidade.
Como reduzir o custo sem perder qualidade?
Dá para otimizar o investimento sem sacrificar a segurança. Boas práticas:
- Priorize por risco — comece pelos ativos que expõem dados sensíveis ou sustentam a operação, em vez de tentar testar tudo de uma vez.
- Forneça acesso e contexto — adotar caixa-cinza ou branca reduz o tempo de reconhecimento e aumenta a cobertura pela mesma janela de horas.
- Prepare o ambiente — ambientes de homologação estáveis, credenciais prontas e documentação disponível evitam horas desperdiçadas.
- Planeje recorrência — programas contínuos ou anuais tendem a ser mais eficientes que testes avulsos, pois a equipe reaproveita o conhecimento do ambiente.
- Inclua o reteste desde o início — validar correções no mesmo ciclo evita reabrir o processo depois.
Como a Berghem orça: EHT Silver, Gold e Diamond
A Berghem dimensiona cada teste a partir do escopo real, não de uma tabela genérica. O ponto de partida é o Testes de Hacking Ético (EHT) da Berghem, a metodologia que combina reconhecimento, exploração manual, encadeamento de falhas e prova de impacto alinhados a OWASP, PTES e NIST SP 800-115.
O EHT é oferecido em três níveis, para que a profundidade acompanhe o risco de cada alvo:
- Silver — cobertura essencial, indicada para ativos de menor criticidade ou para uma primeira avaliação de superfície.
- Gold — profundidade intermediária, com mais tempo de exploração manual e encadeamento de falhas, adequada à maioria das aplicações de negócio.
- Diamond — a abordagem mais profunda, com o maior esforço de análise manual, ideal para sistemas críticos, ambientes regulados e alvos de alto valor.
A escolha do nível é o que ajusta as horas — e, portanto, o preço — ao que cada sistema exige. Antes de qualquer proposta, mapeamos o escopo com você: quantos e quais alvos, qual profundidade, quais requisitos de compliance e qual janela de execução, para que o orçamento reflita o esforço necessário. Como empresa de segurança da informação em São Paulo, atendemos de startups a instituições reguladas.
Empresas com obrigações regulatórias frequentemente combinam o pentest com trilhas de conformidade como PCI DSS, adequação à LGPD ou ISO/IEC 27001. Cada engajamento inclui relatório com achados priorizados, prova de conceito reproduzível e reteste — para que você invista na profundidade certa, e não apenas no menor preço.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
Existe um preço médio de pentest no Brasil?
Não há um valor de referência confiável, porque "pentest" descreve serviços muito diferentes em escopo e profundidade. Um teste de uma API pequena e um exercício de Red Team corporativo têm esforços incomparáveis. O caminho correto é descrever o alvo e receber um orçamento dimensionado por horas.
Quanto custa um pentest web?
O custo de um pentest web é definido pelo número de funcionalidades, pela quantidade de perfis de acesso, pelos fluxos de autenticação e pelas regras de negócio a testar. Uma aplicação institucional simples ocupa poucas horas; um portal transacional com múltiplos perfis e pagamentos exige um esforço bem maior, e o orçamento acompanha esse inventário.
Quanto custa um pentest de API?
Uma API é orçada pelo número de endpoints, pelos métodos e parâmetros de cada rota, pelo modelo de autenticação e autorização e pelo padrão (REST, GraphQL ou SOAP). Poucos endpoints com um só nível de acesso custam pouco; um ecossistema de microsserviços com dezenas de rotas e múltiplos escopos multiplica as horas de teste.
Por que orçamentos de pentest variam tanto?
Porque cada proposta pode assumir um escopo, uma profundidade e uma senioridade diferentes para o mesmo pedido, e o custo sempre deriva das horas de trabalho especializado estimadas. Um valor muito baixo costuma esconder um scanner automatizado, um escopo reduzido ou uma equipe júnior. Só é possível comparar propostas quando todas descrevem os mesmos alvos, a mesma abordagem e o mesmo modelo de relatório e reteste.