¿Cuánto cuesta un pentest?

Por qué un precio fijo

La mayoría de las firmas cobran por día y por alcance. Te dan una horquilla, un presupuesto después de una reunión, y el retest resulta ser una partida aparte. No es deshonesto; es incómodo cuando tienes un deal esperando a un cuestionario de seguridad o una auditoría que empieza en tres meses.

Por eso trabajo al revés. Un precio, por adelantado, para un alcance que conozco. El riesgo de que la aplicación sea más grande de lo previsto es mío — y precisamente por eso hay antes una scoping call de treinta minutos. En ella decido si encajas en el alcance estándar. Si sí, son 6.500 €. Si no, lo oyes en esa llamada y recibes igualmente una cifra fija, no una tarifa por hora.

Qué incluyen los 6.500 €

• Scoping call de treinta minutos, sin compromiso.
• Cinco días laborables de test manual según OWASP WSTG y ASVS Level 2, por un único tester senior — la misma persona con la que hablas.
• Cada día de test, una actualización breve. Un hallazgo crítico lo sabes el mismo día, no en el informe.
• Informe preliminar en tres días laborables tras el último día de test. ¿Más tarde? 20% de descuento.
• El informe para tu equipo: cada hallazgo con prueba de concepto y puntuación CVSS, para que tus developers puedan reproducirlo.
• La attestation letter (TPM) para los demás: una declaración de dos páginas para clientes, inversores, auditores y aseguradoras, sin tus trapos sucios técnicos.
• Debrief con tu equipo.
• Retest durante 90 días, hasta que todo esté resuelto o formalmente aceptado — con declaración firmada por ronda.
• Las preguntas de tu auditor sobre la attestation letter las respondo yo, sin coste.

Informe y attestation letter en inglés; las llamadas también, en inglés o en alemán. Es lo que aceptan auditores, inversores y clientes internacionales.

Cuál es el alcance estándar

Una aplicación web con su API, unos tres roles de usuario, unos 75 endpoints, un entorno. Cubre la mayoría de las aplicaciones SaaS que veo. Los cinco días son una estimación realista para ese tamaño, no un tope de esfuerzo; no paro el viernes por la tarde porque el contador esté lleno.

Cuándo cuesta más

Más roles de usuario, muchos más endpoints, varios entornos, una app móvil junto a la web, o una segunda aplicación. Entonces no son 6.500 €, pero sigue siendo una cifra fija que recibes por adelantado. Una segunda aplicación tiene un suplemento fijo. Red, cloud e infraestructura los hago para clientes existentes, bajo petición.

Cuándo cuesta menos

Si lo necesitas más de una vez. Dos tests sueltos cuestan 13.000 €. El Plan anual cuesta 12.000 € al año e incluye un test completo antes de tu ventana de auditoría, un test intermedio dirigido seis meses después, una sesión de fixes con tus developers tras cada test, y respuesta a las preguntas de tu auditor durante todo el año. Tu informe nunca tiene más de seis meses.

Si haces releases cada pocas semanas, Release Guard es la tercera opción: 3.000 € al mes, hasta dos días al mes, con el test anual incluido.

Cómo se compara con el mercado español

Las guías de precios publicadas en España en 2026 sitúan un pentest de aplicación web entre unos 2.000 € y 15.000 € según alcance y profundidad, y la tarifa diaria de un pentester senior entre 700 € y 1.500 €. Los 6.500 € son cinco días de test a unos 1.300 € por día — la parte alta del mercado — con el informe, la attestation letter y el retest incluidos, que en muchas ofertas son partidas aparte. Más barato existe; comprueba entonces quién testea y si el retest está incluido.

Qué no pagas

Ni créditos. Ni horas que caducan. Ni platform fee. Ni un account manager entre tú y el tester. Y una pregunta técnica entre medias — también fuera de un encargo en curso — la respondo sin más, sin factura.

Cinco preguntas que deberías hacerle a cualquier firma

1. ¿Quién hace el test, y es la misma persona con la que estoy hablando ahora?
2. ¿El retest está incluido en el precio, y hasta cuándo después del informe?
3. ¿Qué va a ver mi cliente o mi auditor, y qué no?
4. ¿Qué pasa si encontráis algo crítico el segundo día?
5. ¿Qué pasa si el informe llega tarde?

Mis respuestas están arriba. Si una firma no puede darlas, ya sabes bastante.