¿Cuánto cuesta un pentest en 2026? Precios reales, qué cambia el valor y cómo no pagar por un escaneo
Rangos de precio de un pentest en España y Europa por tipo de prueba (web, API, IA, móvil), los 7 factores que cambian el valor y cómo reducir costes sin perder calidad.
Respuesta corta: en España y en la mayor parte de Europa, un pentest profesional de una aplicación web o API cuesta en 2026, normalmente, entre 8.000 € y 40.000 €; las aplicaciones con IA/LLM y los SaaS multi-tenant complejos superan esa cifra, y los ejercicios de red team o TLPT empiezan en decenas de miles de euros. Por debajo de ~1.500 € casi siempre estás comprando un escaneo automático con la etiqueta de pentest.
Es la pregunta que más recibimos antes de cualquier conversación técnica, y la respuesta honesta —"depende"— no ayuda a nadie a preparar un presupuesto. Así que vamos a desglosarlo: de qué se compone el precio, rangos de mercado por tipo de prueba, qué lo encarece, qué lo abarata sin perder calidad y las señales de que una oferta es demasiado barata para ser real.
De qué se compone el precio de un pentest
Un pentest es un servicio intelectual. Su coste es, esencialmente, días de especialista × tarifa diaria. En Europa, la jornada de un pentester sénior suele situarse entre 1.400 € y 2.800 €, según el país y el tamaño de la consultora.
Lo que define cuántos días lleva el trabajo es la superficie de ataque probable: cuántas funcionalidades, endpoints, roles de usuario e integraciones hay, y qué profundidad se exige. Un formulario de contacto y un checkout con cupones, suscripciones y pagos divididos no cuestan lo mismo de probar, aunque estén en el mismo dominio.
Desconfía de precios cerrados "por web" o "por IP" sin una sola pregunta sobre lo que hay detrás del login. Quien no pregunta por el alcance está presupuestando una herramienta, no una prueba.
Rangos de mercado por tipo de prueba (Europa, 2026)
Valores de referencia del mercado europeo para trabajo manual realizado por profesionales con experiencia. No son una tarifa: sirven para calibrar ofertas.
| Tipo de prueba | Esfuerzo típico | Rango de mercado |
|---|---|---|
| Escaneo / evaluación externa automática | horas | gratis a 1.500 € (no es pentest) |
| Aplicación web pequeña (1–2 roles) | 4–7 días | 8.000 € – 16.000 € |
| Aplicación web mediana / SaaS multi-tenant | 8–15 días | 16.000 € – 40.000 € |
| API REST/GraphQL (hasta ~80 endpoints) | 5–12 días | 10.000 € – 30.000 € |
| Aplicación con LLM, RAG o agentes | 6–15 días | 14.000 € – 44.000 € |
| Móvil (app + API de backend) | 8–15 días | 16.000 € – 40.000 € |
| Red team / TLPT (DORA) | 4–12 semanas | desde 80.000 € |
Web y API casi siempre van juntas: una SPA moderna es una API con interfaz, y un buen alcance prueba ambas capas. Y las pruebas exigidas por normativa (PCI DSS, ENS, DORA, NIS2) añaden requisitos de metodología e informe; consulta qué espera el auditor del informe de pentest y pentest en NIS2 y DORA.
Los 7 factores que más mueven el precio
- Funcionalidades autenticadas. Ahí están los hallazgos críticos (autorización, lógica de negocio). Cada flujo relevante —pagos, invitaciones, exportación de datos, panel de administración— suma tiempo.
- Número de roles y de tenants. Probar autorización exige al menos dos usuarios por rol. Cinco roles en dos tenants es una matriz mucho mayor que "usuario y admin".
- Caja negra, gris o blanca. La caja gris (con documentación y cuentas) ofrece la mejor relación coste-beneficio: el especialista dedica el tiempo a atacar, no a descubrir lo que tu equipo podía haberle contado. Más en qué es un pentest y qué tipos hay.
- IA en el producto. Chatbots, copilotos y agentes traen una clase nueva de vulnerabilidades —prompt injection indirecta, abuso de herramientas por agentes— que requiere técnica específica.
- Entorno. Un staging estable con datos realistas acelera; producción con ventanas restringidas ralentiza.
- Requisitos de informe y cumplimiento. Informe ejecutivo bilingüe, mapeo a ENS, ISO 27001 o PCI DSS y certificados formales tienen coste.
- Urgencia. Empezar mañana para llegar a una auditoría el viernes obliga a reasignar equipo. Planificar con 2–4 semanas de antelación suele salir más barato.
Señales de que la oferta es demasiado barata
- No hay estimación de días ni se dice quién ejecutará la prueba.
- Informe en 24–48 h para una aplicación completa. Una prueba manual de verdad no cabe ahí.
- Metodología reducida a nombres de herramientas. Lo explicamos en pentest vs. escáner vs. bug bounty.
- Ninguna pregunta sobre roles, reglas de negocio o integraciones.
- Retest cobrado aparte y sin plazo definido.
- Informe de ejemplo genérico, lleno de "versión del servidor expuesta" y cabeceras ausentes, sin una sola cadena de explotación.
Cómo reducir el coste sin reducir la calidad
- Elige caja gris. Entrega OpenAPI/Swagger, colección de Postman y cuentas de prueba por rol.
- Prioriza por riesgo. Empieza por lo que mueve dinero, datos personales y privilegios.
- Prepara el entorno antes. Cuentas creadas, MFA de prueba, datos de ejemplo, IPs permitidas en el WAF.
- Haz antes una radiografía externa gratuita y corrige lo básico antes de pagar a alguien para señalarlo: Radiografía de Seguridad Externa.
- Incluye el retest en el contrato.
¿Puntual o continuo?
Un pentest anual tiene sentido para productos estables y requisitos de auditoría. Si publicas funcionalidades cada semana, el informe envejece en pocos meses: compensa un modelo recurrente, con ciclos más pequeños en cada release relevante. La inversión anual suele ser similar, pero el riesgo queda cubierto más tiempo.
Cuánto cuesta no hacerlo
El informe Cost of a Data Breach de IBM (2025) estima el coste medio global de una brecha de datos en 4,44 millones de dólares. Para una empresa española se suman las sanciones del RGPD (hasta el 4 % de la facturación anual global), las obligaciones de notificación de la NIS2 y, sobre todo, los contratos B2B que exigen un pentest reciente en el proceso de compras.
Cómo presupuesta Pentest Machine
Tras una breve conversación sobre el alcance, enviamos en 24 h una oferta con precio cerrado, días estimados por frente (web, API, IA), quién ejecuta y qué queda fuera. El retest de las vulnerabilidades corregidas está incluido. Antes de contratar a cualquier proveedor, usa nuestro checklist para contratar un pentest.
Preguntas frecuentes
¿Cuánto cuesta un pentest para una pyme?
Para una aplicación pequeña, con pocos roles, una prueba manual seria suele estar entre 8.000 € y 16.000 €. Con menos presupuesto, empieza por una radiografía externa y una prueba enfocada en la funcionalidad más crítica.
¿El pentest se cobra por hora, por día o por proyecto?
El coste se calcula en días de especialista, pero las empresas serias ofrecen precio cerrado por proyecto con alcance definido.
¿Cada cuánto debo hacer un pentest?
Al menos una vez al año y tras cambios significativos: requisito explícito de PCI DSS y expectativa habitual en ISO 27001, ENS, NIS2 y DORA.
¿El retest está incluido?
Debería. Confirma en la oferta el plazo para solicitarlo y si genera un informe actualizado para la auditoría.