Quanto custa um teste de intrusão em 2026? Preços, o que altera o valor e como não pagar por um scan

Resposta curta: em Portugal e na generalidade da Europa, um teste de intrusão profissional a uma aplicação web ou API custa, em 2026, tipicamente entre 8 000 € e 40 000 €; aplicações com IA/LLM e SaaS multi-tenant complexos ficam acima, e exercícios de red team ou TLPT começam nas dezenas de milhares de euros. Abaixo de ~1 500 €, quase sempre está a comprar um scan automático com o nome de pentest.

É a pergunta que mais recebemos antes de qualquer conversa técnica — e a resposta honesta, "depende", não ajuda ninguém a fazer orçamento. Por isso vamos abrir as contas: de que é feito o preço, intervalos de mercado por tipo de teste, o que encarece, o que embaratece sem perder qualidade e os sinais de que uma proposta é barata demais para ser verdade.

De que é feito o preço de um teste de intrusão

Um pentest é um serviço intelectual. O custo é, essencialmente, dias de especialista × valor do dia. Na Europa, o dia de um pentester sénior situa-se em geral entre 1 400 € e 2 800 €, conforme o país e a dimensão da consultora.

O que define quantos dias o trabalho leva é a superfície de ataque testável: quantas funcionalidades, endpoints, perfis de utilizador e integrações existem, e que profundidade é exigida. Um formulário de contacto e um checkout com cupões, subscrições e pagamentos divididos não custam o mesmo a testar, mesmo estando no mesmo domínio.

Por isso, desconfie de preços fixos "por site" ou "por IP" sem uma única pergunta sobre o que existe por trás do login. Quem não pergunta pelo âmbito está a orçamentar uma ferramenta, não um teste.

Intervalos de mercado por tipo de teste (Europa, 2026)

Valores de referência observados no mercado europeu para trabalho manual conduzido por profissionais experientes. Não são tabela de preços — servem para calibrar propostas.

Tipo de teste	Esforço típico	Intervalo de mercado
Varrimento / avaliação externa automática	horas	gratuito a 1 500 € (não é pentest)
Aplicação web pequena (1–2 perfis)	4–7 dias	8 000 € – 16 000 €
Aplicação web média / SaaS multi-tenant	8–15 dias	16 000 € – 40 000 €
API REST/GraphQL (até ~80 endpoints)	5–12 dias	10 000 € – 30 000 €
Aplicação com LLM, RAG ou agentes	6–15 dias	14 000 € – 44 000 €
Mobile (app + API de backend)	8–15 dias	16 000 € – 40 000 €
Red team / TLPT (DORA)	4–12 semanas	a partir de 80 000 €

Aplicação web e API andam quase sempre juntas — uma SPA moderna é uma API com interface, e um bom âmbito testa as duas camadas. E testes exigidos por regulamentação (PCI DSS, DORA, NIS2) acrescentam requisitos de metodologia e de relatório; veja o que o auditor espera do relatório de pentest e testes de intrusão na NIS2 e no DORA.

Os 7 fatores que mais alteram o preço

1. Funcionalidades autenticadas. É aí que estão os achados críticos (autorização, lógica de negócio). Cada fluxo relevante — pagamentos, convites, exportação de dados, painel de administração — acrescenta tempo.
2. Número de perfis e de tenants. Testar autorização exige pelo menos dois utilizadores por perfil. Cinco perfis em dois tenants é uma matriz muito maior do que "utilizador e admin".
3. Black box, grey box ou white box. Grey box (com documentação e contas) tem a melhor relação custo-benefício: o especialista gasta o tempo a atacar, não a descobrir o que a sua equipa podia ter dito. Veja as diferenças em o que é um teste de intrusão e que tipos existem.
4. IA no produto. Chatbots, copilotos e agentes trazem uma classe nova de vulnerabilidades — prompt injection indireta, abuso de ferramentas por agentes — que exige técnica própria.
5. Ambiente. Staging estável e com dados realistas acelera; produção com janelas restritas abranda.
6. Requisitos de relatório e conformidade. Relatório executivo em dois idiomas, mapeamento para ISO 27001, PCI DSS ou DORA e declarações formais têm custo.
7. Urgência. Começar amanhã para cumprir uma auditoria na sexta-feira obriga a realocar equipa. Planear com 2–4 semanas de antecedência sai normalmente mais barato.

Sinais de que a proposta é barata demais

• Não há estimativa de dias nem indicação de quem vai executar.
• Relatório em 24–48 h para uma aplicação inteira. Teste manual a sério não cabe nesse prazo.
• Metodologia resumida a nomes de ferramentas. Explicamos a diferença em pentest vs. scanner vs. bug bounty.
• Nenhuma pergunta sobre perfis, regras de negócio ou integrações.
• Reteste cobrado à parte e sem prazo definido.
• Relatório de exemplo genérico, cheio de "versão do servidor exposta" e cabeçalhos em falta, sem uma única cadeia de exploração.

Como reduzir o custo sem reduzir a qualidade

• Escolha grey box. Entregue OpenAPI/Swagger, coleção do Postman e contas de teste por perfil.
• Priorize por risco. Comece pelo que movimenta dinheiro, dados pessoais e privilégios.
• Prepare o ambiente antes. Contas criadas, MFA de teste, dados de exemplo, IPs autorizados na WAF.
• Faça primeiro um raio-x externo gratuito para corrigir o básico antes de pagar a alguém para o apontar: Raio-X de Segurança Externa.
• Inclua o reteste no contrato.

Pontual ou contínuo?

Um teste anual faz sentido para produtos estáveis e para requisitos de auditoria. Se publica funcionalidades todas as semanas, o relatório envelhece em poucos meses: aí compensa um modelo recorrente, com ciclos mais pequenos a cada release relevante. O investimento anual tende a ser semelhante, mas o risco fica coberto durante mais tempo.

Quanto custa não fazer

O relatório Cost of a Data Breach da IBM (2025) estima o custo médio global de uma violação de dados em 4,44 milhões de dólares. Para uma empresa europeia média pesam ainda as coimas do RGPD (até 4% do volume de negócios anual), as obrigações de notificação da NIS2 e, sobretudo, os contratos B2B que exigem relatório de pentest recente no processo de compras.

Como a Pentest Machine orçamenta

Depois de uma conversa curta sobre o âmbito, enviamos em 24 h uma proposta com preço fechado, dias estimados por frente (web, API, IA), quem executa e o que fica fora do âmbito. O reteste das vulnerabilidades corrigidas está incluído. Antes de contratar qualquer fornecedor, use o nosso checklist para contratar um pentest.

Perguntas frequentes

Quanto custa um teste de intrusão para uma PME?

Para uma aplicação pequena, com poucos perfis, um teste manual sério fica normalmente entre 8 000 € e 16 000 €. Com orçamento menor, comece por um raio-x externo e por um teste focado na funcionalidade mais crítica.

O pentest é cobrado à hora, ao dia ou por projeto?

O custo calcula-se em dias de especialista, mas as empresas sérias apresentam preço fechado por projeto com âmbito definido.

Com que frequência devo fazer um teste de intrusão?

Pelo menos uma vez por ano e após alterações significativas — requisito explícito do PCI DSS e expectativa comum na ISO 27001, na NIS2 e no DORA.

O reteste está incluído?

Deveria estar. Confirme na proposta o prazo para o pedir e se gera relatório atualizado para a auditoria.