Quanto custa pentest no Brasil em 2026: SaaS, fintech e e-commerce

Pentest no Brasil em 2026 custa entre R$ 3.000 e R$ 60.000 por projeto pontual, com a faixa intermediária — entre R$ 8.000 e R$ 18.000 — concentrando 80% das contratações. O preço varia em cinco eixos: porte da empresa, escopo técnico, modalidade (blackbox/whitebox), setor regulatório e profundidade da metodologia. Este artigo explica cada um e mostra como evitar as armadilhas mais comuns na hora de cotar.

Resumo executivo

Os 5 fatores que mais movem o preço

1. Porte da aplicação (número de endpoints e telas)

Endpoint count é o principal driver de preço técnico. Pentest sério mapeia cada endpoint com cada papel × cada verbo HTTP. Isso é trabalho linear:

• Até 50 endpoints — ~5 dias úteis de trabalho efetivo
• 50 a 200 endpoints — ~10 dias úteis
• 200 a 500 endpoints — ~15 dias úteis
• 500+ endpoints — exige escopo focado, não dá para cobrir tudo igualmente

2. Modalidade: blackbox, whitebox ou greybox

Pentest blackbox é mais barato porque o pesquisador faz reconhecimento como atacante externo. Whitebox é mais caro porque o pesquisador lê seu código, sua infra e sua documentação — encontra mais bugs, mas leva mais tempo.

• Blackbox — preço base, ~70% da cobertura possível
• Greybox — +15% sobre blackbox, ~85% da cobertura
• Whitebox — +30% a +50% sobre blackbox, ~95% da cobertura

3. Setor regulatório

Setores regulados pagam mais, não por ganância — por trabalho real adicional. Cada regulação tem checklist próprio, tipo de relatório e exigência de profundidade:

• Fintech (Bacen 4.893) — exige cobertura PIX, KYC, Open Finance, fluxos de pagamento. ~+50% sobre pentest equivalente não-financeiro.
• Saúde (LGPD + dados sensíveis) — exige cuidado adicional com PII e severidade calibrada para impacto LGPD. ~+20%.
• SOC 2 / ISO 27001 — exige relatório formatado para auditoria. ~+15% (overhead documental).
• PCI-DSS 4.0 — exige metodologia documentada (req. 11.4.1) e cobertura específica de cardholder data environment. ~+30%.

4. Profundidade da metodologia

Esse é o eixo mais opaco — e o que mais separa pentest sério de teatro. Existem três níveis de profundidade no mercado:

• Nível 1 — scanner com PDF: rodam Nessus/Acunetix, formatam o output em relatório bonito. Cobertura: bugs óbvios. Preço: R$ 1.500 a R$ 5.000. Quem oferece isso como “pentest” está lhe vendendo apenas scanner.
• Nível 2 — scanner + revisão manual: rodam scanner, depois um analista júnior revisa achados e tenta combinações simples. Cobertura: OWASP Top 10 superficial. Preço: R$ 5.000 a R$ 12.000. Maior parte do mercado brasileiro tradicional.
• Nível 3 — pesquisa adversarial humana: pesquisadores experientes em bug bounty atacam lógica de negócio, chains de exploração, premissas erradas. Cobertura: as 54 classes que importam em 2026. Preço: R$ 10.000 a R$ 60.000. É o que entrega bugs que de fato derrubam empresas.

A diferença entre Nível 2 e Nível 3 não aparece no orçamento — aparece no relatório. Bugs de lógica de negócio, race conditions, BOLA entre tenants, OAuth state confusion: só aparecem em Nível 3.

5. Pesquisador alocado vs “equipe”

Algumas consultorias cobram caro alegando “equipe de 6 pesquisadores”. Na prática, o trabalho real é feito por 1 a 2 pesquisadores experientes — os outros são juniores fazendo documentação. Pergunte sempre: “quem especificamente vai atacar meu sistema?”.

Armadilhas comuns na cotação

Armadilha 1: re-test cobrado à parte

Você paga R$ 8.000 pelo pentest, encontra 12 findings, corrige tudo, e a consultoria cobra mais R$ 4.000 para validar a correção. Isso é prática antiga ainda comum no Brasil. Pentest sério em 2026 inclui re-test no preço inicial, com prazo de 30 a 90 dias após a correção. Sempre pergunte explicitamente.

Armadilha 2: escopo “todos os sistemas” por R$ 5.000

Se uma proposta cobre “web + APIs + mobile + cloud + infra” por R$ 5.000, ou a consultoria está perdendo dinheiro deliberadamente para fechar (e vai entregar superficial), ou está rodando scanner em tudo. Pentest profundo de 5 superfícies leva mínimo 5 semanas para 1 pesquisador. Conta de padaria não fecha.

Armadilha 3: relatório com PoC em screenshot do scanner

PoC reproduzível significa: request HTTP completo + payload + resposta + passos para reproduzir. Se o relatório tem só screenshot do Acunetix marcando “XSS”, sem o payload exato, não é PoC. É marketing.

Armadilha 4: severidade só com CVSS técnico

CVSS 3.1 isolado dá score 9.8 para um XSS em campo “Sobre mim” que ninguém usa, e 5.0 para um BOLA em endpoint de pagamento. Pentest moderno usa CVSS 4.0 + impacto de negócio calibrado pelo escopo do cliente.

Armadilha 5: “pentest 100% automatizado”

Não existe. A automação cobre 30 a 40% do trabalho — descoberta, varredura básica, replay. O resto é manual. Quem promete 100% automatizado está vendendo scanner com nome bonito.

Como cotar de forma justa

A regra prática que funciona:

1. Mapeie o escopo: número de endpoints, modalidade desejada, regulação envolvida
2. Peça 3 propostas — uma de cada faixa de preço (Nível 1, Nível 2, Nível 3)
3. Compare conteúdo do relatório, não preço: peça um relatório-modelo (sem dados de cliente real) de cada proposta
4. Valide presença de PoC reproduzível, severidade calibrada, re-test incluso
5. Pergunte explicitamente: “qual pesquisador vai trabalhar no meu projeto?” e peça portfolio dele (CVEs publicados, hall of fame em programas de bug bounty, palestras)

Pentest sério custa caro porque é trabalho humano qualificado. Pentest barato custa caro porque você paga e fica com vulnerabilidade. Conta econômica é simples.

FAQ rápido sobre preço

Posso pagar parcelado?

Sim, na maior parte do mercado, em até 3x sem juros para projetos pontuais.

Aceita NF-e? Posso usar como despesa de empresa?

Sim. Pentest é serviço técnico-profissional, faturável com NF-e. Despesa dedutível (operacional, área de TI/segurança).

Quanto custa por hora de pesquisador?

No mercado brasileiro em 2026, hora de pesquisador sênior em bug bounty está entre R$ 350 e R$ 800/hora. Os melhores cobram mais — porque entregam mais.

Vale a pena ter recorrente mensal?

Sim, para SaaS em crescimento, fintechs e e-commerces que mudam código toda sprint. Pentest pontual anual deixa janelas de 11 meses sem cobertura. Recorrente cobre o delta de cada release. A partir de R$ 1.500/mês.

Conclusão

Pentest no Brasil em 2026 vai de R$ 3.000 a R$ 60.000+. O que você está pagando não é pelo “PDF” — é por quem ataca seu sistema. Pesquisador júnior rodando scanner custa pouco e entrega pouco. Pesquisador sênior fazendo análise adversarial real custa mais e entrega bugs que de fato importam.

Antes de assinar uma proposta, peça relatório-modelo, valide PoC reproduzível, confirme re-test incluso, e pergunte qual pesquisador específico vai trabalhar no seu projeto. Isso filtra 70% do mercado em 5 minutos.