Quanto custa um pentest em 2026? Faixas reais no Brasil
As faixas de preço publicadas por empresas brasileiras, o que faz o valor subir ou descer, o que precisa estar incluso na proposta e quando um diagnóstico de 5 dias resolve.
As faixas de preço publicadas
Poucas empresas publicam preço. As faixas abaixo são as que fornecedores brasileiros divulgaram em guias de 2026; servem de referência, não de tabela.
| Tipo de teste | Faixa publicada | Fonte |
|---|---|---|
| Aplicação web ou API | R$ 18 mil a R$ 60 mil | Evernow |
| Aplicativo mobile (iOS e Android) | R$ 25 mil a R$ 75 mil | Evernow |
| Rede externa ou interna | R$ 15 mil a R$ 90 mil | Evernow |
| Nuvem e Kubernetes | R$ 35 mil a R$ 120 mil | Evernow |
| Red team (30 dias) | R$ 90 mil a R$ 250 mil ou mais | Evernow |
| Projeto de escopo menor | a partir de cerca de R$ 15 mil | Vantico |
| Pacote de 25 horas | R$ 8.750 a R$ 12.500 | No Vuln |
| Hora de consultoria sênior | R$ 400 a R$ 600 | Vantico, Evernow |
Para comparar: a Salak publica o próprio preço. O Diagnóstico Express parte de R$ 12.500 e a Auditoria Completa parte de R$ 22.300, por aplicação de porte pequeno e médio.
O que faz o preço subir ou descer
- Tamanho do escopo. Número de telas, endpoints, perfis de usuário e integrações. É o fator que mais pesa.
- Modalidade. Caixa preta (sem informação) é mais barata e cobre menos; caixa cinza (com usuários de teste) é a mais comum; caixa branca (com acesso ao código) é a mais completa.
- Arquitetura. Microsserviços, Kubernetes e serverless aumentam o trabalho.
- Exigência de conformidade. PCI-DSS, LGPD, ISO 27001 ou SOC 2 pedem evidências e formatos específicos.
- Reteste. Incluso ou cobrado à parte faz diferença no total.
- Urgência. Início imediato ou testes fora do horário comercial costumam ter acréscimo.
Scan automatizado não é pentest
Propostas muito abaixo das faixas acima costumam ser uma varredura automática vendida com o nome de pentest. O scanner encontra padrões conhecidos, como cabeçalho ausente ou versão vulnerável. Ele não testa se o cliente A consegue ler o pedido do cliente B, se o cupom aceita valor negativo ou se a tela de administração confere o papel no servidor.
O que precisa estar na proposta
- Escopo escrito: sistemas, ambientes, perfis de usuário e o que fica de fora.
- Testes manuais, além das ferramentas automáticas.
- Relatório executivo (para a diretoria) e técnico (para o time).
- Cada achado com severidade, prova, impacto e correção recomendada.
- Reteste das correções, com prazo definido.
- Acordo de confidencialidade e nota fiscal.
- Prazo de entrega.
Quando um diagnóstico de 5 dias resolve
Nem todo sistema precisa começar por um pentest completo. Apps feitos em Lovable, Bolt ou Cursor, com Supabase ou Firebase, concentram o risco em poucos pontos: regras do banco, chaves no navegador e permissões só na tela. Para esses casos, um diagnóstico focado encontra o que é crítico em dias e por uma fração do preço.
Aplicações em produção com dados de clientes, exigência de relatório para auditoria ou muitas integrações pedem a auditoria completa, com análise do código e testes de regressão.