Início › pentest

Contratar pentest: preço, escopo e como escolher a empresa

Contratar um pentest é decidir o que será testado, quanto custa e o que você recebe no fim. Esta página trata dessa decisão: como fechar escopo, ler a faixa de preço, comparar fornecedores e avaliar o relatório entregue — e, antes disso, o que é pentest e por que ele não se confunde com um scanner de vulnerabilidades.

O que é pentest, em uma definição prática

Um pentest começa com uma pergunta de negócio — “um atacante consegue ler dados de outro cliente?” — e termina com uma resposta demonstrável, obtida por requisições reais registradas. O profissional (hacker ético, pentester ou pesquisador de segurança ofensiva) atua dentro de um contrato, com janela acordada, contas de teste e limites de impacto.

A diferença essencial para uma análise automatizada é a validação: só entra no relatório o que foi explorado com prova. Um scanner aponta 300 possibilidades e erra em boa parte delas; um pentest aponta 12 achados reais, cada um com requisição, resposta, horário e caminho de reprodução.

• Hipótese: o que se suspeita que está errado e por quê
• Prova mínima: a menor ação que demonstra o desvio, sem dano
• Impacto: o que isso permite a um atacante de verdade
• Correção: o que muda no código, na configuração ou no processo
• Reteste: a confirmação de que a correção funciona

Pentest, análise de vulnerabilidade, red team e bug bounty

Cada um responde a uma pergunta diferente. Contratar red team para achar SQL injection é desperdício; contratar scanner para provar impacto regulatório é insuficiente. O erro mais comum de contratação é pedir o formato mais caro quando o problema é cobertura básica de aplicação.

Tipos de pentest

As sete fases de um pentest profissional

1. Escopo e autorização

Contrato, NDA, lista de alvos (IPs, domínios, URLs, contas de teste), janela de execução, contatos de emergência e regras de engajamento. Sem isso por escrito, não existe pentest.

2. Reconhecimento

Coleta passiva e ativa de superfície: DNS, subdomínios, certificados, tecnologias, e-mails públicos, vazamentos conhecidos. É a fase que define o tamanho real do problema.

3. Enumeração e análise

Mapeamento de portas, serviços, rotas, parâmetros, perfis de usuário e fluxos de autenticação. Aqui se formulam hipóteses de falha, não se atira payload aleatório.

4. Exploração controlada

Validação da hipótese com a prova mínima necessária: uma requisição que demonstre o desvio, sem causar dano. Cada tentativa fica registrada com horário e resultado.

5. Pós-exploração

Com autorização, mede-se o alcance real: quais dados ficaram acessíveis, até onde o acesso se propaga, quais controles de detecção reagiram. É o que separa achado técnico de impacto de negócio.

6. Relatório

Consolidação de evidências, severidade calibrada, causa provável, recomendação por esforço e prioridade, além de um resumo que um gestor não técnico consiga ler.

7. Reteste

Verificação de que a correção funciona. Sem reteste, o ciclo fica aberto e o mesmo achado reaparece no próximo ciclo.

Metodologias e normas usadas como referência

Um relatório sério declara a metodologia. As mais usadas no mercado:

• OWASP WSTG — guia de testes de segurança para aplicações web
• OWASP MASVS/MASTG — verificação e testes em aplicações mobile
• OWASP API Security Top 10 — riscos específicos de APIs
• PTES — padrão aberto de execução de teste de penetração
• NIST SP 800-115 — guia técnico de avaliação de segurança
• MITRE ATT&CK — mapeamento de táticas e técnicas de adversário
• PCI DSS 11.3 — exigência de testes em ambiente de dados de cartão
• ISO/IEC 27001 — controles de segurança técnica e gestão de vulnerabilidades
• LGPD, art. 46 — medidas de segurança e evidência de diligência

Escopo e contrato: o que precisa estar escrito

Escopo mal fechado é a principal causa de pentest inútil — ou de incidente jurídico. Antes da primeira requisição, o documento deve cobrir:

• Escopo escrito com ativos, exclusões e limites de impacto
• Janela de execução e plano de rollback para ambientes de produção
• Contas de teste com privilégios representativos (e uma conta sem privilégio)
• Canal de comunicação direto e procedimento de parada de emergência
• Definição de tratamento de dados encontrados, retenção e destruição (LGPD)
• Metodologia declarada (OWASP WSTG, PTES, NIST SP 800-115, MITRE ATT&CK)
• Evidência por achado: requisição, resposta, horário e reprodução
• Severidade calibrada por impacto demonstrado, não por categoria genérica
• Recomendação priorizada por esforço e risco, e não lista de scanner
• Reteste incluído ou com preço definido desde o início

Quanto custa um pentest

Preço de pentest não se define por tabela, e sim por superfície: quantos alvos, quantos perfis de usuário, quantas integrações, qual a criticidade e qual o prazo. Como referência de mercado brasileiro, três faixas ajudam a calibrar expectativa:

O sinal de alerta é o oposto do preço alto: proposta sem escopo detalhado, prazo irreal de um dia para um sistema complexo e entregável que é apenas exportação de scanner. Nesses casos o barato custa caro duas vezes — no valor e na falsa sensação de segurança.

O que um bom relatório de pentest contém

1. Resumo executivo em linguagem de negócio, com risco geral e prioridades
2. Escopo e limitações, incluindo o que não foi testado e por quê
3. Metodologia e ferramentas relevantes
4. Achados com severidade (CVSS), evidência, impacto e causa provável
5. Recomendações priorizadas por risco e esforço, com referência técnica
6. Anexos de evidência e plano de reteste

Achado sem passo de reprodução não é evidência: é opinião. Se o time de desenvolvimento não consegue reproduzir a falha com o que está escrito, a correção vai ser feita no lugar errado.

Erros mais comuns em programas de pentest

• Testar uma vez por ano e achar que o problema está resolvido
• Contratar só o perímetro e esquecer API, mobile e lógica de negócio
• Não fornecer contas de teste representativas, forçando teste superficial
• Tratar o relatório como documento de auditoria em vez de backlog técnico
• Corrigir o sintoma (bloquear o payload) e não a causa (falta de validação no servidor)
• Não fazer reteste, deixando o ciclo sem confirmação
• Escolher fornecedor por preço sem avaliar escopo e evidência

Como escolher um fornecedor de pentest

Peça três coisas antes de assinar: um exemplo de relatório com dados sensíveis tarjados, a metodologia declarada e o nome de quem executa o teste. Verifique se há segregação entre quem testa e quem vende a correção, se o time tem certificações práticas compatíveis com o alvo e se o contrato prevê reteste. Fornecedor que não mostra evidência do próprio trabalho dificilmente vai produzir evidência do seu.

Legalidade: o que separa pentest de invasão

No Brasil, o acesso não autorizado a sistema informatizado é crime (Lei 12.737/2012), com penas majoradas pela Lei 14.155/2021 em hipóteses como prejuízo econômico, obtenção de dados e instalação de dispositivo não autorizado. O Marco Civil da Internet e a LGPD entram pelo lado da proteção de dados e da responsabilidade no tratamento. A conclusão prática é simples: autorização escrita, escopo delimitado e registro de tudo. É isso que transforma técnica ofensiva em serviço legítimo.

Perguntas frequentes sobre pentest

Continue pelo guia

Ver trilha de formação