Quanto custa um pentest em 2026? Preços reais, o que muda o valor e como não pagar por um scan

Resposta curta: no Brasil, um pentest profissional de aplicação web ou API custa, em 2026, tipicamente entre R$ 24 mil e R$ 90 mil; aplicações com IA/LLM e SaaS multi-tenant complexos passam disso, e exercícios de red team começam na casa dos R$ 200 mil. Abaixo de ~R$ 4 mil, quase sempre você está comprando um scan automatizado com logo de pentest.

Essa é a pergunta que mais recebemos antes de qualquer conversa técnica — e a resposta honesta é "depende", o que não ajuda ninguém a montar orçamento. Então vamos abrir a conta: do que o preço é feito, faixas de mercado por tipo de teste, o que encarece, o que barateia sem perder qualidade e os sinais de que uma proposta é barata demais para ser verdade.

Do que o preço de um pentest é feito

Pentest é serviço intelectual. O custo é, essencialmente, dias de especialista × valor do dia. O dia de um pentester sênior no Brasil fica, em geral, entre R$ 6 mil e R$ 10 mil; consultorias grandes cobram mais, freelancers júnior cobram menos.

O que define quantos dias o trabalho leva é a superfície de ataque testável: quantas funcionalidades, quantos endpoints, quantos perfis de usuário, quantas integrações e qual a profundidade exigida. Um formulário de contato e um checkout com cupons, assinaturas e split de pagamento não custam o mesmo para testar, mesmo que estejam no mesmo domínio.

Por isso desconfie de preço fixo "por site" ou "por IP" sem nenhuma pergunta sobre o que existe atrás do login. Quem não pergunta sobre escopo está precificando uma ferramenta, não um teste.

Faixas de mercado por tipo de teste (Brasil, 2026)

Valores de referência observados no mercado brasileiro, para trabalho manual conduzido por profissionais experientes. Não são tabela de preço — servem para você calibrar propostas.

Tipo de teste	Esforço típico	Faixa de mercado
Varredura / avaliação externa automatizada	horas	grátis a R$ 4 mil (não é pentest)
Aplicação web pequena (1–2 perfis, poucas funcionalidades críticas)	4–7 dias	R$ 24 mil – R$ 44 mil
Aplicação web média / SaaS multi-tenant	8–15 dias	R$ 44 mil – R$ 90 mil
API REST/GraphQL (até ~80 endpoints)	5–12 dias	R$ 30 mil – R$ 80 mil
Aplicação com LLM, RAG ou agentes	6–15 dias	R$ 40 mil – R$ 120 mil
Mobile (app + API de backend)	8–15 dias	R$ 50 mil – R$ 100 mil
Red team / simulação de adversário	4–12 semanas	a partir de R$ 200 mil

Duas observações. Primeiro: aplicação web e API quase sempre andam juntas — um SPA moderno é uma API com interface, e um bom escopo testa as duas camadas. Segundo: testes exigidos por norma (PCI DSS, por exemplo) incluem requisitos de relatório e de metodologia que acrescentam esforço; veja o que um QSA espera do relatório de pentest.

Os 7 fatores que mais mexem no preço

1. Funcionalidades autenticadas. É onde moram os achados críticos (autorização, lógica de negócio). Cada fluxo relevante — pagamento, convite de usuários, exportação de dados, painel administrativo — adiciona tempo.
2. Número de perfis e de tenants. Testar autorização exige pelo menos dois usuários por papel. Cinco papéis em dois tenants é uma matriz bem maior que "usuário e admin".
3. Black box, gray box ou white box. Gray box (com documentação e contas) é o melhor custo-benefício: o especialista gasta tempo atacando, não descobrindo o que você poderia ter contado. Entenda as diferenças em o que é pentest e quais os tipos.
4. IA no produto. Chatbots, copilotos e agentes trazem uma classe nova de vulnerabilidades — prompt injection indireta, abuso de ferramentas por agentes — que exige técnica específica e mais iterações.
5. Ambiente. Staging estável e com dados realistas acelera; produção com janelas restritas e restrições de carga desacelera.
6. Exigências de relatório e compliance. Relatório executivo em dois idiomas, mapeamento para PCI DSS, ISO 27001 ou BACEN e atestados formais têm custo.
7. Urgência. Começar amanhã para cumprir auditoria na sexta-feira significa realocar equipe. Planejar com 2–4 semanas de antecedência costuma sair mais barato.

Sinais de que a proposta é barata demais

• Não há estimativa de dias nem descrição de quem vai executar.
• Prazo de relatório em 24–48h para uma aplicação inteira. Teste manual de verdade não cabe nisso.
• Metodologia resumida a nomes de ferramentas. Ferramenta é meio; o que você compra é o julgamento de quem a usa. Explicamos a diferença em pentest vs. scanner vs. bug bounty.
• Nenhuma pergunta sobre perfis, regras de negócio ou integrações.
• Reteste cobrado à parte e sem prazo definido. Sem reteste, você não sabe se a correção funcionou.
• Relatório de exemplo genérico, cheio de "versão do servidor exposta" e cabeçalhos ausentes, sem nenhuma cadeia de exploração.

Um pentest de R$ 3 mil que gera um PDF de 80 páginas de achados informativos sai mais caro que um de R$ 50 mil que encontra o BOLA que expõe os dados de todos os seus clientes.

Como reduzir custo sem reduzir qualidade

• Escolha gray box. Entregue OpenAPI/Swagger, coleção do Postman e contas de teste por papel. Cada dia economizado em reconhecimento vira dia de ataque.
• Priorize por risco. Comece pelo que movimenta dinheiro, dados pessoais e privilégios. O resto pode entrar num ciclo seguinte.
• Prepare o ambiente antes. Contas criadas, MFA de teste configurado, dados de exemplo, IPs liberados no WAF. Bloqueios no primeiro dia queimam orçamento.
• Faça um raio-x externo gratuito antes. Ele mostra o básico exposto (e-mail falsificável, HTTPS, subdomínios esquecidos) para você corrigir antes de pagar alguém para apontar. Use o Raio-X de Segurança Externa.
• Combine reteste no contrato. Sai mais barato que contratar outro teste depois.

Pentest pontual ou contínuo?

Um pentest anual faz sentido para produtos estáveis e exigências de auditoria. Se você publica funcionalidades toda semana, o relatório envelhece em poucos meses; aí vale um modelo recorrente — ciclos menores a cada release relevante, ou pentest por funcionalidade crítica. No total, o investimento anual costuma ser parecido, mas o risco fica coberto por mais tempo.

Quanto custa não fazer

O relatório Cost of a Data Breach da IBM (2025) estima o custo médio global de um vazamento em US$ 4,44 milhões. Para uma empresa média brasileira, os números relevantes são outros: multa e processo de comunicação à ANPD sob a LGPD, chargebacks, churn de clientes B2B que pedem relatório de segurança no procurement — e o contrato enterprise que não fecha porque você não tinha um pentest recente para mostrar.

Como a Pentest Machine precifica

Depois de uma conversa curta sobre escopo, enviamos em até 24h uma proposta com preço fechado, dias estimados por frente (web, API, IA), quem executa e o que está fora do escopo. Reteste das vulnerabilidades corrigidas está incluso. Se o melhor para você neste momento for um teste menor e focado, a gente diz.

Antes de contratar qualquer fornecedor — nós ou outro —, use nosso checklist para contratar um pentest.

Perguntas frequentes

Quanto custa um pentest para pequena empresa?

Para uma aplicação pequena, com poucos perfis e funcionalidades, um pentest manual sério fica normalmente entre R$ 24 mil e R$ 44 mil no Brasil. Se o orçamento for menor, comece por um raio-x externo e por um teste focado na funcionalidade mais crítica.

Pentest é cobrado por hora, por dia ou por projeto?

O custo é calculado em dias de especialista, mas a maioria das empresas sérias entrega preço fechado por projeto, com escopo definido. Desconfie de preço por projeto sem estimativa de esforço.

Com que frequência devo fazer pentest?

No mínimo uma vez por ano e após mudanças significativas — exigência explícita do PCI DSS e boa prática na ISO 27001 e no SOC 2. Produtos com releases frequentes se beneficiam de ciclos menores e recorrentes.

O reteste está incluso no preço?

Deveria. Confirme na proposta se o reteste está incluso, qual o prazo para solicitá-lo e se ele gera relatório atualizado para apresentar à auditoria ou a clientes.