> comparativo.csv · ~12 min
QUANTO CUSTA
UM PENTEST
NO BRASIL?
Preço de pentest varia 10x entre os fornecedores brasileiros — para o mesmo escopo nominal. Por quê? Porque "pentest" virou termo guarda-chuva: cobre desde scan automatizado vendido em pacote a R$ 4k até Red Team multi-vetor a R$ 250k+. Esta página detalha as faixas de mercado por tipo, custos ocultos, e como avaliar uma proposta sem se enganar pelo número grande ou pelo desconto suspeito.
Time fixo no preço
Custo de pentester sênior OSCP+CISSP carregado: R$ 25-40k/mês. É o piso técnico do preço. Se a proposta sai abaixo, alguém júnior está executando.
% manual = % preço
Scan automatizado custa R$ 1-3k de licença por engagement. Manual real custa 80% do preço final. Se o vendor não justifica o tempo de execução, está vendendo scan.
Páginas no relatório
15 páginas = 2 dias de escrita = scan output. 80+ páginas = 5-10 dias de escrita por finding. O preço final reflete onde foi gasto o tempo.
> FAIXAS DE MERCADO POR TIPO (BR 2026)
Faixas baseadas em propostas observadas em mercado BR 2024-2026. Commodity = scan + report. Manual real = PTES com 90% manual. Valores em R$ por engajamento único.
| Tipo de pentest | Commodity | Manual real |
|---|---|---|
| Web app pequena (1 domínio, ~10 endpoints) | R$ 12k–35k | R$ 30k–60k |
| API média (REST + GraphQL) | R$ 18k–45k | R$ 40k–90k |
| Mobile (1 plataforma — iOS ou Android) | R$ 15k–35k | R$ 35k–70k |
| Network externa (até /24) | R$ 8k–20k | R$ 25k–50k |
| Network interna corporativa | R$ 25k–60k | R$ 60k–150k |
| Wi-Fi + interno on-site (BR) | R$ 30k–80k | R$ 60k+ travel (oferta vigente intrus) |
| Cloud config (AWS/Azure/GCP) | R$ 12k–30k | R$ 25k–60k |
| Red Team multi-vetor com objetivo | R$ 40k–120k | R$ 80k–250k+ |
| Phishing campanha (até 100 alvos) | R$ 5k–12k | R$ 9k–18k |
| OT/SCADA básico (1 linha) | R$ 30k–80k | R$ 80k–200k |
> POR QUE EXISTE DIFERENÇA DE 2-3X
O delta entre commodity e manual real é o custo do humano. Composição típica de um pentest manual sério:
- 50% mão de obra técnica — pentester sênior OSCP+CISSP custa R$ 25-40k/mês carregado;
- 15% lead/revisão — sênior valida cada finding antes de entregar;
- 10% pré-venda — escopo, NDA, kickoff, alinhamento;
- 10% relatório — escrita executiva + técnica de 80-150 páginas;
- 5% reteste — geralmente incluso no preço base;
- 10% margem — sustenta a operação.
Quando você vê pentest a R$ 4-8k para web app, alguma dessas etapas foi cortada — geralmente as duas primeiras. O que sai do outro lado é PDF de scanner.
> CUSTOS OCULTOS NO PREÇO BARATO
- Retest cobrado à parte — até 30% do principal;
- Relatório executivo extra — quando vendedor entrega só técnico;
- Reunião de apresentação extra — frequentemente cobrada como adendo;
- Findings sem PoC — cliente não consegue corrigir → contrata consultoria de remediação extra;
- Substituição de profissional sem aviso — quem ganha não é quem executa;
- Apresentação para auditor separada — cliente convoca pentester para defender em audit, vendor cobra hora extra;
- Tradução para inglês — para SOC 2 com auditor US, vendor cobra à parte.
> SINAIS DE QUE O PREÇO ESTÁ ABAIXO DO CUSTO REAL
- Prazo abaixo de 2 semanas para web app média — pentester não cobre superfície;
- Sem reunião de pre-engagement — escopo mal definido = entregável genérico;
- Relatório < 30 páginas prometido — sem espaço para PoC + business impact + mapping;
- Sem certificação nominal do executor — terceirização para freelancer não declarado;
- Preço por escopo padrão sem entender o ambiente — pricing "do menu" indica template, não pentest customizado;
- Sem cláusula de retest — correção fica sem validação;
- "Pentest em 2 dias" — só scan automatizado roda em 2 dias.
> SINAIS DE PREÇO ALTO DEMAIS (Big 4)
- 4 PowerPoints antes de chegar no preço;
- Pentest "estratégico" R$ 200k+ que entrega o mesmo do nosso R$ 30k;
- Subcontratação a freelancer não declarada — você paga marca, ele entrega 30%;
- Discovery call de 4h só para "entender necessidade";
- Time of execution alocado mas pentester sênior aparece só na apresentação inicial;
- Faixa de preço nunca mostrada — pricing por valor "estratégico" do cliente, não por escopo técnico.
> MODELO DE PRICING INTRUS
Transparência: precificamos por escopo (alvos + profundidade) × dias estimados × senioridade fixa. Sem pricing "por valor estratégico" do cliente. Pacotes pré-definidos para escopo padrão (a partir de R$ 6k para Wi-Fi, até R$ 40k+ para Red Team). Customizado sob proposta detalhada com breakdown de horas.
> OFERTA VIGENTE: WI-FI + INTERNO ON-SITE BR
Por janela limitada de presença física no Brasil: pentest Wi-Fi + interno corporativo on-site = R$ 60k + travel. Cobre rede sem fio + ataque interno + Active Directory. Disponível para empresas com sede Brasília/SP/RJ ou outros centros mediante deslocamento. Solicitar agora →
3 categorias de fornecedor BR
> FAQ
Vocês fazem orçamento gratuito?
Sim. Pre-engagement call 60-90 min gratuito. Proposta em 48h. Sem custo até assinatura.
Aceitam parcelamento?
Projetos acima de R$ 20k: até 6x sem juros. PTaaS mensais já parcelados. Licitação pública: empenho fracionado.
Tem desconto para projeto recorrente?
Sim. Contrato anual 2+ pentests: ~15% desconto. PTaaS contínuo já com pricing diferenciado. Multi-year tem desconto adicional.
Por que outra empresa cobra metade?
Geralmente porque entrega scan automatizado em vez de pentest manual. 90% manual + PTES + relatório 80-150 págs custa o que custa.
Vocês são caros?
Comparado a Big 4: significativamente mais baratos. Comparado a commodity: mais caro porque fazemos manual. Pague o trabalho, não overhead nem desconto que indica scan.
Posso comparar 3 propostas?
Sim. Compare por: % manual comprometido, certificações nominais, estrutura de relatório, retest incluso. Preço sozinho mente.